Die Verarbeitung von personenbezogenen Daten ist nach der am 25.05.2018 in Kraft tretenden Datenschutz-Grundverordnung (DSGVO) nur dann zulässig, wenn der Verantwortliche die allgemeinen Grundprinzipien für die Verarbeitung personenbezogener Daten einhält. Einer dieser Grundsätze ist die Rechtmäßigkeit der Datenverarbeitung. Um personenbezogene Daten rechtmäßig verarbeiten zu können ist es erforderlich, dass Datenverarbeitungen bspw der Erfüllung eines Vertrages, der Einhaltung einer rechtlichen Verpflichtung oder der Wahrung berechtigter Interessen dienen. Ein in der Praxis äußerst relevanter Erlaubnistatbestand ist die Einwilligung des Betroffenen in die Verwendung seiner personenbezogenen Daten.
Eine wirksame Einwilligung muss freiwillig und in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erfolgen. Die Einwilligung kann etwa durch eine schriftliche (elektronische) aber auch mündliche Erklärung, durch Anklicken eines Kästchens beim Besuch einer Internetseite oder durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft (insb Online-Vertrieb von Waren und Dienstleistungen, Online-Informationsangebote, Online-Werbung, Suchmaschinen, Dienste, die Informationen über ein elektronisches Netz übermitteln oder Informationen eines Nutzers speichern) erfolgen. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sind keine DSGVO-konformen Einwilligungen.
Als Bedingungen für die Einwilligung normiert die DSGVO, dass das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgt und von anderen Sachverhalten (bspw anderen Vertragstexten) klar unterscheidbar sein muss. Verwendet der Verantwortliche daher vorformulierte Einwilligungserklärungen, so sind diese entsprechend zu textieren und von sonstigen Vertragsbedingungen unterscheidbar zu gestalten. Darüber hinaus normiert die DSGVO ein sogenanntes Koppelungsverbot: Konkret bedeutet dieses, dass die Einwilligung nicht als freiwillig erteilt gilt, wenn die Erfüllung eines Vertrags von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Vertragserfüllung nicht erforderlich ist. Ebenso liegt keine Freiwilligkeit vor, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten keine gesonderte Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist. Der Betroffene ist zudem vor Abgabe der Einwilligung darüber zu informieren, dass er/sie die Einwilligung jederzeit widerrufen kann.
Wir empfehlen dringend, die für die bestehenden Datenverarbeitungen vorliegenden Einwilligungen auf ihre DSGVO-Konformität zu prüfen. Sofern die erteilten Einwilligungen den Anforderungen der DSGVO entsprechen, gelten sie weiter. Für alle anderen Fälle sind die bislang verwendeten Zustimmungserklärungen entsprechend zu überarbeiten und die (neuerlichen) Einwilligungen von den Betroffenen zeitgerecht einzuholen. Gerne unterstützen wir Sie dabei, Ihre Einwilligungserklärungen anzupassen und damit empfindliche Strafen zu verhindern.
Mag. Claudia Fleischhacker-Hofko