„Ich habe die Datenschutzerklärung gelesen und stimme ihr zu.” Solche Pflicht-Checkboxen finden sich häufig bei Kontaktformularen, Registrierungen oder Newsletter-Anmeldungen. Doch ist eine solche Zustimmung zur Datenschutzerklärung überhaupt erforderlich? Die Antwort lautet: In der Regel nein – und eine solche Gestaltung kann sogar zusätzliche rechtliche Probleme verursachen.
Die Datenschutzerklärung (Privacy Policy) dient primär der Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO. Der Verantwortliche muss die betroffene Person unter anderem informieren über:
Nach Art. 12 Abs. 1 DSGVO müssen diese Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitgestellt werden. Dabei handelt es sich um eine einseitige gesetzliche Verpflichtung des Verantwortlichen. Die DSGVO verlangt weder, dass die betroffene Person die Datenschutzerklärung tatsächlich liest, noch dass sie deren Inhalt akzeptiert oder bestätigt.
Informationspflichten bestehen grundsätzlich unabhängig von der Rechtsgrundlage der Verarbeitung. Auch wenn Daten beispielsweise zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) oder auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet werden, besteht eine Informationspflicht.
Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist dagegen eine von mehreren möglichen Rechtsgrundlagen für eine Verarbeitung. Nach Art. 4 Nr. 11 DSGVO muss sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden.
Entscheidend: Die Einwilligung bezieht sich auf die Verarbeitung personenbezogener Daten für bestimmte Zwecke – nicht auf die Datenschutzerklärung als solche. Eine Datenschutzerklärung kann eine erforderliche Einwilligung nicht ersetzen. Umgekehrt kann die Erklärung „Ich stimme der Datenschutzerklärung zu” eine unvollständige oder nicht rechtzeitig bereitgestellte Information nicht heilen.
Die Datenschutzkonferenz (DSK) stellte bereits 2018 in einem Beschluss klar, dass Betroffene Datenschutzhinweise nicht zur Kenntnis nehmen müssen. Hintergrund waren Fälle aus dem Gesundheitsbereich, in denen Patienten die Kenntnisnahme der Informationen nach Art. 13 DSGVO durch Unterschrift bestätigen sollten.
Die DSK betonte: „Die Informationspflicht nach Art. 13 DSGVO bezweckt lediglich, dass der Patientin bzw. dem Patienten die Gelegenheit gegeben wird, die entsprechenden Informationen einfach und ohne Umwege zu erhalten. Sie oder er muss diese jedoch nicht zur Kenntnis nehmen, wenn sie oder er dies nicht möchte.”
Für den Nachweis gegenüber der Aufsichtsbehörde ist keine Unterschrift erforderlich. Der Verantwortliche kann stattdessen die Aushändigung der Informationen vermerken oder einen Verfahrensablauf dokumentieren.
Der Europäische Datenschutzausschuss (EDSA) befasste sich in seinem verbindlichen Beschluss 5/2022 gegen WhatsApp mit der Problematik des „Akzeptieren”-Buttons. WhatsApp hatte Nutzer gezwungen, Nutzungsbedingungen und Datenschutzerklärung zu akzeptieren, obwohl bestimmte Verarbeitungen auf Vertragserfüllung gestützt wurden – nicht auf eine Einwilligung.
Der EDSA sah darin einen Verstoß gegen den Grundsatz der Verarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO). Für Nutzer war nicht erkennbar, ob sie mit dem „Akzeptieren”-Button in die Datenverarbeitung einwilligten. Der EDSA betonte, dass die Vermeidung von Irreführung ein wesentliches Element der Verarbeitung nach Treu und Glauben sei.
Fordert ein Unternehmen Nutzer auf, die Datenschutzerklärung zu „akzeptieren” oder ihr „zuzustimmen”, entsteht der Eindruck, die darin enthaltenen Regelungen würden Vertragsbestandteil. Dies kann eine AGB-Kontrolle nach §§ 305 ff. BGB auslösen.
Das Kammergericht Berlin (Urteil vom 27.12.2018, Az. 23 U 196/13) behandelte die Apple Datenschutzrichtlinie als Allgemeine Geschäftsbedingungen und erklärte mehrere Klauseln für unwirksam, weil sie mit gesetzlichen Regelungen zur Rechtmäßigkeit der Datenverarbeitung nicht vereinbar waren.
Der österreichische Oberste Gerichtshof (Entscheidung vom 23.11.2022, Az. 7 Ob 112/22d) stellte fest, dass bereits eine Bestätigung der Kenntnisnahme im jeweiligen Kontext eine Zustimmung implizieren kann – mit der Folge einer vollständigen Klauselkontrolle.
Fazit: Eine Zustimmung zur Datenschutzerklärung verschafft dem Unternehmen keine zusätzlichen datenschutzrechtlichen Befugnisse, kann aber eine zusätzliche zivilrechtliche Angriffsfläche eröffnen.
Für die Datenschutzerklärung ist weder eine „Zustimmung” erforderlich, noch muss der Nutzer bestätigen, sie „gelesen” oder „zur Kenntnis genommen” zu haben. Ausreichend ist ein deutlich sichtbarer Hinweis mit Verlinkung zur Datenschutzerklärung.
Anstelle von „Ich habe die Datenschutzerklärung gelesen und stimme ihr zu” empfiehlt sich:
„Informationen zur Verarbeitung Ihrer personenbezogenen Daten finden Sie in unserer Datenschutzerklärung.”
Bei Einwilligungen sollte die Checkbox sich ausschließlich auf die konkrete Datenverarbeitung beziehen, nicht auf die Datenschutzerklärung:
„Ich willige ein, dass meine Daten zum Zweck des Newsletter-Versands verarbeitet werden. Weitere Informationen finden Sie in unserer Datenschutzerklärung.”
Die korrekte Gestaltung von Datenschutzerklärungen und Einwilligungen ist nur ein Baustein der DSGVO-Compliance. Als erfahrener externer Datenschutzbeauftragter unterstützt AZ-Datenschutz Sie bei der rechtssicheren Umsetzung aller datenschutzrechtlichen Anforderungen.
Unsere Leistungen umfassen:
Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch und erfahren Sie, wie Sie Ihr Unternehmen rechtssicher und effizient DSGVO-konform aufstellen.
Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.
Input your search keywords and press Enter.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen