Einwilligung und Koppelungsverbot im Datenschutz

Datenschutzrechtliche Einwilligungen werden heutzutage fast überall verlangt: bei der Teilnahme an einem Gewinnspiel oder bei der Registrierung in einem Online-Shop. Eine solche Einwilligungserklärung ist aus rechtlicher Sicht erforderlich, wenn personenbezogene Daten zu Zwecken verarbeitet werden sollen, die über die bloße Vertragserfüllung hinausgehen. Das ist etwa dann der Fall, wenn Unternehmen die Adressdaten ihrer Kunden nicht nur zum Versand der bestellten Waren, sondern auch für Marketingzwecke verarbeiten wollen.

Ab dem 25. Mai 2018 gibt die Datenschutz-Grundverordnung (DSGVO) für die rechtsgültige Einwilligung Betroffener in eine Verarbeitung ihrer Daten neue Rahmenbedingungen vor (siehe dazu den Überblick in der Ausgabe vom 30. Juni). Besonders strenge Vorgaben gelten hinsichtlich der Freiwilligkeit einer solchen Erklärung:

Nach der aktuellen Rechtslage kommt es an sich darauf an, dass die Einwilligung "ohne Zwang" erfolgt. Was darunter genau zu verstehen ist, war gesetzlich nicht geregelt und folglich in der Praxis umstritten. Demgegenüber verlangt die DSGVO künftig eine "freiwillig" abgegebene Erklärung und enthält bereits eine Begriffsbestimmung: Demnach ist eine Einwilligung nicht freiwillig, wenn die Vertragserfüllung von der Einwilligung zu einer Verarbeitung personenbezogener Daten abhängig gemacht wird, die für die Vertragserfüllung selbst nicht erforderlich ist. Damit wird in Österreich erstmals das Koppelungsverbot gesetzlich verankert. Diesem widerspricht es etwa, wenn ein Online-Händler Kundenbestellungen nur entgegennimmt, wenn der Kunde auch in die Verarbeitung seiner Daten zu Marketingzwecken einwilligt. Diese Einwilligung ist für die Lieferung der Ware nicht erforderlich. Sie würde daher im Sinne der DSGVO wohl nicht freiwillig erteilt, sondern nur, um die Bestellung vornehmen zu können.

Was bedeutet das in der Praxis? Führt eine im Widerspruch zum Koppelungsverbot erteilte Einwilligung automatisch zur Rechtswidrigkeit der Datenverarbeitung? Nein. Wurde eine Einwilligung nicht freiwillig erteilt, so ist diese zwar unwirksam. Gleichwohl kann aber eine andere datenschutz-rechtliche Rechtfertigung vorliegen, auf deren Grundlage der Unternehmer eine rechtmäßige Datenverarbeitung vornehmen kann. Ob dies der Fall ist, bedarf einer detaillierten Prüfung.

Bei Verstößen gegen die DSGVO droht nicht nur die Geltendmachung zivilrechtlicher Ansprüche durch die Betroffenen (darunter insbesondere solcher auf Unterlassung und Schadenersatz), sondern auch die Verhängung massiver Geldbußen (in Höhe von bis zu 20 Millionen Euro respektive 4 Prozent des weltweiten Vorjahresumsatzes) durch die zuständige Datenschutzbehörde. Unternehmen sind daher gut beraten, rechtzeitig zu überprüfen, ob die Art und Weise, wie sie Einwilligungserklärungen einholen, dem Kriterium der Freiwilligkeit (und hier insbesondere dem Koppelungsverbot) entspricht beziehungsweise ob andere Rechtfertigungsgründe für die Datenverarbeitung bestehen. Es bleibt nur noch wenig Zeit -die Schonfrist endet am 25. Mai 2018.