In unserem Blogbeitrag haben wir darüber berichtet, dass Checkboxen unzulässig sind, mit denen z. B. ein Webseitenbesucher bestätigen soll, dass er die Datenschutzerklärung akzeptiert oder gelesen hat. Diese sind nicht nur unzulässig, sondern führen auch dazu, dass die Datenschutzerklärungen zu Allgemeinen Geschäftsbedingungen werden. Die hieraus folgenden Konsequenzen möchte man als Verantwortlicher natürlich vermeiden und entfernt in diesem Zuge die Checkboxen. Hierbei ist jedoch Vorsicht geboten, denn man sollte genau darauf achten, welche Checkboxen man auf seiner Webseite entfernt, denn manchmal benötigt man sie für die Einwilligung des Webseitenbesuchers.
Achtung: Checkboxen zum Bestätigen der Datenschutzerklärung oder notwendiger Einwilligung zur Datenverarbeitung
Als Verantwortlicher einer Webseite sollte man streng darauf achten, welche Checkbox man nun entfernt. Denn eine Checkbox für eine Einwilligung zur Datenverarbeitung wird unter Umständen trotzdem benötigt.
Beispiel Kontaktformular auf einer Webseite: Der Webseitenbetreiber muss eine Einwilligung des Anfragenden einholen, soweit er im Rahmen des Kontaktformular weitere Daten, die nicht zur Bearbeitung der Anfrage erforderlich sind, abfragt. So sind z. B. der Name und die E-Mail-Adresse notwendig zur Bearbeitung der Anfrage, die Telefonnummer und die Adresse jedoch nicht. Da die Verarbeitung der Telefonnummer und der Adresse nicht zur Vertragserfüllung erforderlich ist, bedarf sie einer anderen Rechtsgrundlage – der Einwilligung. In diesem Fall benötigt man also zum Einen die Einwilligung für die Verarbeitung der Telefonnummer und der Adresse und zum Anderen die Belehrung für die Verarbeitung des Namens und der E-Mail-Adresse. Hier treffen also Einwilligung und Belehrung zusammen. Für die Erstere sollte man eine Checkbox anlegen, die der Nutzer selbst aktiv anhaken muss. Zusätzlich sollte vor dem Absendebutton noch die Belehrung über die Verarbeitung der personenbezogenen Daten erfolgen.
Wann muss man als Verantwortlicher eine Einwilligung einholen?
Eine Einwilligung der betroffenen Personen benötigt man bei diversen Verarbeitungstätigkeiten, wie z. B. in der soeben beschriebenen Situation. Grundsätzlich gilt, dass immer dann bei der betroffenen Person eine eingeholt werden muss, wenn die Verarbeitung ihrer personenbezogenen Daten nicht auf eine andere Rechtsgrundlage gem. Art. 6 Abs.1 S.1 DSGVO gestützt werden kann.
Neben der Einwilligung gibt es beispielsweise die Rechtsgrundlage der Vertragserfüllung. In diesem Rahmen sind alle Datenverarbeitungstätigkeiten erlaubt, die zur Vertragserfüllung oder für vorvertragliche Maßnahmen erforderlich sind.
Daneben gibt es die Rechtsgrundlage des berechtigten Interesses. Hierbei kann der Verantwortliche gewisse Datenverarbeitungen vornehmen, die aufgrund seines berechtigten Interesses notwendig erscheinen. Wichtig ist, dass in diesem Zuge immer eine Interessensabwägung zwischen den Interessen des Betroffenen und denen des Verantwortlichen vorgenommen und dokumentiert wird. Schließlich gibt es noch die Rechtsgrundlage der gesetzlichen Verpflichtung. Hierauf können die Datenverarbeitungen gestützt werden, die durch das Gesetz vorgeschrieben sind.
Eine Einwilligung der betroffenen Person ist daher in den verschiedensten Bereichen von Datenverarbeitungen erforderlich. Anzutreffen sind datenschutzrechtliche Einwilligungen in sämtlichen Lebensbereichen – im Arbeitsverhältnis, im Verhältnis zu Kunden – bzw. Lieferanten oder im Bereich von Onlineauftritten. Typische Fälle, die eine erforderlich machen, sind z. B.:
– Der Versand eines Newsletters
– Die Verarbeitung von Foto- oder Videoaufnahmen eines Betroffenen
– Datenverarbeitungen zu Marketingzwecken
– Kontaktformulare
– Die Aufnahme von Bewerbern in einen Bewerber-Pool
– Die Aufnahme in einen Geburtstagskalender oder sonstige betriebsinterne Listen
Was ist bei der Einholung zu beachten?
Bereits in diesem Blogbeitrag informierten wir Sie über die Voraussetzungen einer wirksamen Einwilligung. Zusammengefasst sollte eine solche stets auf freiwilliger Basis erfolgen. D. h. im Umkehrschluss, dass dem Betroffenen keine Nachteile aus der Verweigerung dazu erwachsen dürfen.
Wichtig ist ebenfalls noch, dass eine einmal erteilte Einwilligung nicht grenzenlos durch den Verantwortlichen genutzt werden kann. Der Verantwortliche muss die Datenverarbeitung unverzüglich stoppen, sobald die Einwilligung durch den Betroffen widerrufen wird. Daneben kann eine Einwilligung auch verfallen, wenn sie verhältnismäßig lange nicht durch den Verantwortlichen genutzt wurde.
Dazu muss der Zweck der Datenverarbeitung, zu dem die Einwilligung eingeholt wird, konkret in der Einwilligungserklärungen beschrieben sein. Auch sollte eine solche am besten eine „ja“- oder „nein“-Checkbox enthalten. Zu Dokumentationszwecken sollte sie schriftlich eingeholt werden und Informationen über die Betroffenenrechte, insbesondere die Widerrufsmöglichkeit sowie einen Hinweis auf die jeweilige Datenschutzbelehrung enthalten.
Folgen einer unwirksamen Einwilligung sind fatal
Soweit eine Einwilligungserklärung diese Voraussetzungen nicht erfüllt, besteht die Gefahr der Unzulässigkeit der Einwilligung.
Welche fatalen Folgen dies haben kann, zeigt das jüngste Beispiel der jö Club GmbH, ein österreichisches Kundenbindungsprogramm ähnlich wie Payback. Diese holten sich Einwilligungen von Kunden ein, um Profiling zu betreiben. Da jedoch der Zweck der Datenverarbeitung im Rahmen der Einwilligung nicht klar hervorging, wurde die Einwilligung durch die österreichische Aufsichtsbehörde als unzulässig eingestuft. Geahndet wurde dieser Verstoß mit einem Bußgeld von über 2 Millionen Euro.
Als Verantwortlicher sollte man daher stets darauf achten, wenn erforderlich, eine wirksame Einwilligung einzuholen.
Daher sollte auch insbesondere im Rahmen von Webseiten genau geprüft werden, welche Checkboxen man entfernt. Ansonsten läuft man Gefahr, dass die Datenverarbeitung mangels Einwilligung unzulässig wird.
Wir beraten unsere Kunden im Rahmen der Bearbeitung des SiDIT Fahrplans umfassend rund um das Thema Einwilligungen. Sollten Sie noch Fragen in diesem Bereich haben, sprechen Sie uns gerne an. Wir sind bundesweit tätig und unterstützen Sie gerne: 0931-780 877-0 oder info@sidit.de
Kein Kommentar