Einwilligung

Sie wollen einem Kunden eine Werbemail schicken? Sie wollen einen potentiellen Sponsor anrufen? Sie wollen einen Besucher Ihrer Veranstaltung fotografieren?

In allen drei Beispielen werden personenbezogene Daten verarbeitet, d.h. wir sind im Anwendungsbereich der DSGVO.

Damit wir die drei Vorhaben datenschutzkonform umsetzen können, brauchen wir nun für diese drei Vorhaben jeweils eine Rechtsgrundlage, die die Verarbeitung erlaubt. Typischerweise stehen folgende Rechtsgrundlagen (siehe Art. 6 DSGVO) zur Wahl:

• Einwilligung
• Vertragserfüllung
• Rechtliche Pflicht
• Berechtigtes Interesse

Die Einwilligung ist die „stabilste“ Rechtsgrundlage: Liegt eine Einwilligung vor, dann darf man auch verarbeiten.

Die Schwierigkeit liegt aber darin, sich erst einmal eine wirksame (!) Einwilligung zu beschaffen. Zunächst grob die wichtigsten Voraussetzungen für eine Einwilligung:

• Ausdrücklichkeit – dabei ist es dann egal, ob sie schriftlich, mündlich oder konkludent erteilt wurde. Aber: Das schlichte Vorbeilaufen an einem Schild „Fotoaufnahmen“ ist keine Einwilligung! Da der Datenverarbeiter die Einwilligung im Streitfall beweisen können muss, ist Schriftlichkeit dringend zu empfehlen (bzw. bspw. auf der Webseite die Checkbox).
• Informiertheit – der Betroffene muss wissen, wo hinein er einwilligt. Wenn man aus Sorge, dass keine Einwilligung erteilt wird, wichtige Infos weglässt, dann man zwar die Einwilligung erteilt werden, sie ist aber nicht wirksam! Und dann sind alle auf dieser vermeintlichen Einwilligung beruhenden Datenverarbeitungen rechtswidrig (so dass die Daten u.a. gelöscht werden müssen).

Ein schlechtes Beispiel:

„Lieber Besucher, Sie erklären mit der Checkbox die Einwilligung, dass wir Fotos von Ihnen machen dürfen, die wir auf unserer Webseite verwenden (verkürzt)“. Tatsächlich aber sollen die Fotos auch noch an die Sponsoren weitergegeben werden, damit diese das Foto auch auf ihrer Webseite verwenden können.

Die Folgen:

Nur der Veranstalter darf das Foto auf seiner Webseite verwenden, soweit ist die Einwilligung wirksam.

Der Veranstalter darf die Fotos aber nicht an die Sponsoren weitergeben. Macht er es doch, nutzen die Sponsoren das Foto datenschutzrechtlich rechtswidrig, und müssten es löschen. Ärgerlich kann das werden, wenn der Sponsor extra dafür Geld bezahlt hat.

Tipps:

• Formulieren Sie die Einwilligung ohne Marketingsprech: Klar, unmissverständlich. Sie können das kontrollieren, indem Sie einen Kollegen bitten, sich die Einwilligung durchzulesen und Ihnen dann zu erklären, was mit seinen Daten gemacht werden soll. Stimmt das, was er dann erzählt, mit Ihren Plänen überein, dürfte die Einwilligung ausreichend genug sein.
• Sorgen Sie dafür, dass Sie die Einwilligung auch noch Jahre später beweisen können.
• In der Datenschutzerklärung muss der Datenverarbeitungsvorgang mit dem Zweck der Verarbeitung und der Einwilligung als Rechtsgrundlage genannt werden.
• Die Datenschutzerklärung (in der bspw. über den Verantwortlichen, die Dauer der Speicherung, die Betroffenenrechte usw. informiert wird, siehe hier), ist nicht Teil der Einwilligung:
• Die Einwilligung muss ausdrücklich erfolgen (z.B. mittels Checkbox), die Datenschutzerklärung im Übrigen muss dem Betroffenen lediglich leicht auffindbar zur Verfügung gestellt werden (z.B. durch Auslage auf dem Akkreditierungstresen, unten auf der Webseite usw.).

Weiterführende Links:

Berechtigtes Interesse Datenschutzerklärung Datenschutzrecht Checkliste zum Datenschutz