Eine DSGVO-Einwilligung muss nicht nur wirksam eingeholt, sondern auch nachgewiesen werden können. Fehlt eine tragfähige Grundlage für die Datenverarbeitung, kommen unterschiedliche aufsichtsrechtliche Maßnahmen in Betracht. Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) erläutert diese Zusammenhänge in ihren Kurzpapieren Nr. 20 zur Einwilligung und Nr. 2 zu Aufsichtsbefugnissen und Sanktionen.
Wann ist eine DSGVO-Einwilligung wirksam?
Nach der Datenschutz-Grundverordnung (DSGVO) muss eine Einwilligung freiwillig, informiert und für einen bestimmten Fall erteilt werden. Erforderlich ist eine unmissverständliche Erklärung oder eine andere eindeutige bestätigende Handlung. Eine Schriftform ist grundsätzlich nicht vorgeschrieben. Vorangekreuzte Kästchen, Schweigen oder bloßes Weiterscrollen auf einer Webseite reichen jedoch nicht aus.
Entscheidend ist außerdem eine echte Wahlmöglichkeit. Die DSK bewertet eine Einwilligung als unwirksam, wenn die Ablehnung aufwendiger ist als die Zustimmung und deshalb nicht festgestellt werden kann, ob tatsächlich ein freier Wille erklärt wurde. Eine unnötige Verknüpfung von Vertragserfüllung und zusätzlicher Datenverarbeitung kann ebenfalls gegen die Freiwilligkeit sprechen.
Verständliche Informationen und konkrete Nachweise
Betroffene müssen insbesondere erkennen können, wer ihre Daten verarbeitet, welche Zwecke verfolgt werden und welche Daten betroffen sind. Auch das Widerrufsrecht muss erläutert werden. Die Informationen sollen verständlich, leicht zugänglich und in klarer Sprache formuliert sein.
Zusätzlich verpflichtet Art. 7 Abs. 1 DSGVO Unternehmen, die tatsächlich erteilte Einwilligung nachweisen zu können. Ein korrekt gestaltetes Formular allein genügt nicht. Ebenso wenig reichen eine gespeicherte Internetprotokoll-Adresse (IP-Adresse) und die Behauptung, darüber sei zugestimmt worden.
Die konkrete Erklärung jeder betroffenen Person muss vollständig dokumentiert werden. Bei ausdrücklich erteilten Einwilligungen gehört dazu auch der Wortlaut. Elektronische Erklärungen müssen gespeichert und auf Nachfrage vorgelegt werden können.
DSGVO-Einwilligung widerrufen: So einfach wie die Zustimmung
Betroffene dürfen ihre Einwilligung jederzeit widerrufen. Der Widerruf muss genauso einfach sein wie die Erteilung. Er wirkt für die Zukunft und macht eine zuvor rechtmäßige Verarbeitung nicht nachträglich rechtswidrig.
Unternehmen können allerdings nicht beliebig auf eine andere Rechtsgrundlage ausweichen, sobald eine Einwilligung unwirksam ist oder widerrufen wurde. Ein rückwirkender Wechsel zu berechtigten Interessen kann insbesondere mit den Grundsätzen der Fairness und Transparenz kollidieren. Die DSK betont deshalb, dass ein willkürliches Wechseln zwischen Rechtsgrundlagen nicht möglich ist.
Datenschutzaufsicht kann mehr als Bußgelder verhängen
Das Kurzpapier zu Aufsichtsbefugnissen zeigt, dass Datenschutzverstöße nicht ausschließlich finanzielle Folgen haben können. Nach Art. 58 DSGVO dürfen Behörden vor einer voraussichtlich rechtswidrigen Verarbeitung warnen oder bereits begangene Verstöße mit einer Verwarnung beanstanden.
Daneben können sie die Erfüllung von Betroffenenrechten, die Berichtigung oder Löschung von Daten sowie Beschränkungen oder Verbote einer Verarbeitung anordnen. Auch die Aussetzung bestimmter Drittlandübermittlungen ist möglich. Diese Befugnisse können sich ebenfalls gegen Auftragsverarbeiter richten. Gegen rechtsverbindliche Entscheidungen steht der Rechtsweg offen.
Welche Bußgelder bei unwirksamen Einwilligungen drohen
Verstöße gegen die Bedingungen einer Einwilligung können nach Art. 83 Abs. 5 DSGVO mit Geldbußen geahndet werden. Der gesetzliche Höchstbetrag beträgt 20 Millionen Euro oder bei Unternehmen vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres. Maßgeblich ist der höhere Betrag. Bei einer wirtschaftlichen Unternehmenseinheit kann dafür der Gesamtumsatz der Unternehmensgruppe relevant sein.
Ein Bußgeld folgt jedoch nicht automatisch auf jeden Verstoß. Entscheidend sind die Umstände des Einzelfalls. Dazu zählen insbesondere Schwere und Dauer, betroffene Datenarten, organisatorische Vorkehrungen und die Zusammenarbeit mit der Aufsichtsbehörde.
Bußgeldbemessung folgt keiner einfachen Formel
Die DSK beschreibt eine fünfstufige Methodik des Europäischen Datenschutzausschusses (EDSA): Zunächst werden die sanktionierbaren Verhaltensweisen ermittelt und ein Ausgangsbetrag bestimmt. Anschließend werden erschwerende und mildernde Umstände berücksichtigt, die gesetzliche Höchstgrenze geprüft und eine abschließende Gesamtbewertung vorgenommen.
Die Leitlinien sind damit kein starrer Bußgeldkatalog. Das Ergebnis muss im konkreten Fall wirksam, verhältnismäßig und abschreckend sein.
Fazit: Einwilligungsprozesse vollständig betrachten
Eine DSGVO-Einwilligung verlangt mehr als einen Zustimmungsknopf. Freiwilligkeit, verständliche Informationen, individuelle Nachweise und ein einfacher Widerruf gehören zusammen. Werden diese Anforderungen verfehlt, können neben Bußgeldern auch Einschränkungen der Datenverarbeitung folgen.
Prüfen Sie gemeinsam mit KINAST, ob Ihre Einwilligungstexte, technischen Abläufe und Nachweise zusammenpassen und Widerrufe zuverlässig umgesetzt werden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
