Der Europäische Gerichtshof (EuGH) hatte darüber zu entscheiden, ob im Rahmen eines Vertragsabschlusses vom Verkäufer angekreuzte Kästchen zur Einwilligung in die Aufbewahrung von Ausweisdokumenten der Kunden eine rechtswirksame Einwilligung darstellen – und ob zusätzlich eine Irreführung der Betroffenen über die Konsequenzen einer Verweigerung vorlag (Urteil des EuGH vom 11. November 2020, Az.: C‑61/19).
Hintergrund des Gerichtsverfahrens
Dem EuGH Urteil lag ein Verwaltungsverfahren zwischen der rumänischen Datenschutzbehörde (ANSPDCP) und dem Anbieter von Telekommunikationsdiensten Orange România SA zugrunde. Die Aufsichtsbehörde hatte eine Geldbuße gegen Orange România SA verhängt, da diese ihren Kunden Verträge vorlegte, welche eine Klausel zur Speicherung der Ausweiskopie enthielt. Diese Kopien wurden an den Mobilfunkvertrag angeheftet. Weil das entsprechende Kästchen zur Abgabe der Einwilligung bereits vor Unterzeichnung des Vertrages durch einen Mitarbeiter angekreuzt wurde, fand nach Meinung der Aufsichtsbehörde keine aktive Einwilligungshandlung durch die Kunden statt.
Für den Fall, dass die Kunden die betreffende Klausel ablehnten, sollten sie ein spezielles Formular unterschreiben, in welchem die Verweigerung der Aufbewahrung von kopierten Ausweisdokumenten zum Ausdruck kam. Der Vertrag kam auch in diesem Fall zustande.
Das Landgericht Bukarest bat vor diesem Hintergrund im Wege eines Vorabentscheidungsersuchens den EuGH klarzustellen, unter welchen Voraussetzungen die Einwilligung von Kunden in die Verarbeitung personenbezogener Daten als gültig angesehen werden kann.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Das EuGH-Urteil
Der EuGH verweist zunächst darauf, dass die DSGVO die Voraussetzungen einer rechtmäßigen Einwilligung abschließend regelt und bezieht sich explizit auf Erwägungsgrund 32, Art. 4 Nr. 11 und Art. 7 DSGVO. Demnach ist eine Einwilligung
- eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene“ Willensbekundung der betroffenen Person,
- in Form einer Erklärung oder einer „eindeutigen bestätigenden Handlung“, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Zudem muss die Einwilligung „ohne jeden Zweifel“ abgegeben sein. Die Beweislast obliegt also dem Verantwortlichen. Er muss bei einer Anfrage der Aufsichtsbehörde Entsprechendes nachweisen können.
Das Gericht stellt zudem klar, dass bei Stillschweigen oder Untätigkeit des Betroffenen sowie bei bereits vorangekreuzten Kästchen durch den Verantwortlichen (in diesem Fall durch die Mitarbeiter des Anbieters der Dienstleistung) keine rechtswirksam erteilte Einwilligung vorliegt.
Gleichzeitig führt der EuGH die Anwendbarkeit von Art. 13 Abs. 2 lit. b und c DSGVO i.V.m. Erwägungsgrund 42 an. Demnach muss der Verantwortliche die Einwilligenden über alle Umstände der Verarbeitung in verständlicher bzw. einfacher Sprache und in leicht zugänglicher Form informieren. Die Informationen müssen die Betroffenen in die Lage versetzen, die Konsequenzen ihres Handelns einschätzen zu können. Zur Sicherstellung einer echten Wahlfreiheit für die betroffene Person dürfen die Vertragsbestimmungen nicht irreführend sein. Ein solches Irreführen könnte etwa darin zu sehen sein, dass den betroffenen Kunden nicht deutlich wurde, dass ein Vertragsabschluss auch bei Verweigerung der Einwilligung in das Sammeln und Aufbewahren von Kopien des Ausweisdokumentes möglich ist.
In der Gesamtschau all dieser Probleme sah der EuGH die Anforderungen für eine wirksame Einwilligung nicht erfüllt.
Die Richter hoben insbesondere hervor, dass Orange România SA für die Verarbeitung der personenbezogenen Daten ihrer Kunden Verantwortliche ist und als solcher in der Lage sein muss, die Rechtmäßigkeit der Verarbeitung dieser Daten – also das Vorliegen einer gültigen Einwilligung ihrer Kunden – nachzuweisen. Diese Nachweispflicht kann aber nicht erbracht werden, wenn die betroffenen Kunden das Kästchen in Bezug auf die Sammlung und die Aufbewahrung von Kopien ihres Ausweisdokuments nicht selber ankreuzen. Allein die Tatsache, dass dieses Kästchen angekreuzt wurde, ist für die Annahme einer positiv abgegebenen Einwilligungserklärung nicht ausreichend.
Die erfüllte Nachweispflicht lehnte der EuGH ebenfalls bei Vertragsabschlüssen ab, sofern der Kunde die Abgabe seiner Einwilligung verweigerte. In diesem Fall könne Orange România SA nicht darlegen, dass die Kunden ausreichend über die Verarbeitung und über ihre Betroffenenrechte informiert sind. Sofern ein Kunde nicht selbst aktiv einwilligt, sondern, wie im vorliegenden Fall, das Kreuz durch einen Mitarbeiter gesetzt wird, ist es unmöglich festzustellen, ob der Kunde seine Einwilligung informiert und freiwillig erteilt hat, da die Mitarbeiter die
Schließlich stellte der EuGH fest, dass die zusätzliche Anforderung durch Orange România SA an die Kunden, im Falle einer Verweigerung der Einwilligung eine schriftliche Erklärung abzugeben, die freie Entscheidung der betroffenen Person ungebührlich beeinträchtigt. Insbesondere könne die Orange România SA nicht von ihren Kunden verlangen, eine Verweigerung aktiv zu bekunden, wenn sie als Verantwortlicher selbst in der Pflicht ist nachzuweisen, dass ihre Kunden durch ein aktives Handeln in die Verarbeitung ihrer personenbezogenen Daten eingewilligt haben.
Aus den angegebenen Schlussfolgerungen sah der EuGH die vorgelegten Einwilligungserklärungen als nicht rechtswirksam erteilt an.
Datenschutzrechtliche Einschätzung
Die Entscheidung der EuGH-Richter überrascht nicht, sind doch die Anforderungen der DSGVO an eine wirksame Einwilligung eigentlich bekannt. Der Richterspruch macht jedoch noch einmal in aller Schärfe deutlich, wie viele Aspekte bei Einwilligungserklärungen zu beachten sind:
- Bei der Abgabe einer Einwilligungserklärung ist darauf zu achten, dass diese freiwillig, auf einen konkreten Zweck bezogen, in informierter Weise und unmissverständlich abgegeben wird.
- Der Wille zur Erklärung einer Einwilligung muss durch ein aktives Handeln bekundet werden. Daher können Kästchen, die eine Einwilligung darstellen, nicht von dem Verantwortlichen angekreuzt werden oder vorangekreuzt sein.
- Die einer Einwilligung zugehörigen Vertragsbestimmungen müssen transparent sein und dürfen den Betroffenen nicht über seine Wahlfreiheit hinwegtäuschen.
- Der Betroffene darf in seiner freien Entscheidung, sich einer Einwilligung zu widersetzen, nicht durch Vorgaben des Verantwortlichen ungebührlich beeinträchtigt werden.
- Der Verantwortliche muss seiner Nachweispflicht stets nachkommen können. Dabei ist es unerheblich, ob Einwilligungen in Papierformat oder digital abgegeben werden.
