Selten kommt ein Kontaktformular ohne sie aus: die Pflicht-Checkbox „Ich habe die Datenschutzerklärung gelesen und stimme ihr zu.“ Fast jeder kennt sie. Nur: Braucht es diese Zustimmung überhaupt?
Nein. Und die Pflicht-Checkbox bei Kontaktformularen und Registrierungen dazu ist ein unnötiges Klickerfordernis – manchmal sogar riskant.
Die Datenschutzerklärung erfüllt einzig die Informationspflichten aus Art. 13, 14 DSGVO. Das ist eine einseitige Pflicht des Verantwortlichen. Dieser muss informieren. Ob die betroffene Person diese Information liest, zur Kenntnis nimmt oder gar akzeptiert, spielt für die DSGVO keine Rolle.
Das Problem an der Praxis vieler Unternehmen: Sie vermischen zwei Dinge, die eigentlich nichts miteinander zu tun haben. Die Informationspflicht gilt unabhängig davon, auf welche Rechtsgrundlage eine Verarbeitung gestützt wird. Egal ob Vertrag, gesetzliche Pflicht oder berechtigtes Interesse. Die Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO dagegen ist nur eine mögliche Rechtsgrundlage unter mehreren, und sie bezieht sich immer auf konkrete Verarbeitungszwecke und nicht auf ein Dokument namens „Datenschutzerklärung“. Wer also „Ich stimme der Datenschutzerklärung zu“ anklicken lässt, holt sich damit keine wirksame Einwilligung ein. Und umgekehrt: Eine lückenhafte Datenschutzerklärung wird durch diese Zustimmung auch nicht plötzlich vollständig.
Dass Betroffene Datenschutzhinweise nicht zur Kenntnis nehmen müssen, wenn sie nicht wollen, hat die Datenschutzkonferenz (DSK) schon 2018 festgestellt. Ausgelöst durch Fälle aus dem Gesundheitswesen, in denen Patienten die Kenntnisnahme per Unterschrift bestätigen sollten und bei Weigerung teils die Behandlung verweigert wurde. Klar rechtswidrig, so die DSK.
Auch auf europäischer Ebene gab es dazu schon ein deutliches Wort: Im WhatsApp-Verfahren beanstandete der EDSA (Europäischer Datenschutzausschuss) genau diese Vermischung. Nutzer mussten einen „Akzeptieren“-Button klicken, ohne zu wissen, ob sie damit gleichzeitig in eine Datenverarbeitung einwilligen und das obwohl WhatsApp sich für diese Verarbeitung gar nicht auf eine Einwilligung stützte. Für den EDSA war das eine Irreführung und ein Verstoß gegen den Grundsatz von Treu und Glauben aus Art. 5 Abs. 1 lit. a) DSGVO.
Es gibt noch einen zweiten Grund, bei solchen Zustimmungs-Buttons vorsichtig zu sein, der in der Praxis oft übersehen wird: Wer seine Datenschutzerklärung ausdrücklich zur Zustimmung vorlegt, riskiert, dass sie als Vertragsbestandteil gilt und damit zusätzlich der AGB-Kontrolle nach §§ 305 ff. BGB unterliegen kann. Das Kammergericht Berlin hat das bei Apples Datenschutzrichtlinie so gesehen und mehrere Klauseln für unwirksam erklärt. Der österreichische OGH kam in einem ähnlichen Fall zu einem vergleichbaren Ergebnis, wenngleich diese Entscheidung für deutsche Gerichte nicht bindend ist. Man handelt sich also unter Umständen eine zusätzliche Angriffsfläche ein, ohne dafür irgendeinen datenschutzrechtlichen Vorteil zu bekommen.
Was heißt das konkret? Ein gut sichtbarer Link auf die Datenschutzerklärung reicht. Mehr nicht. Eine Zustimmungs-Checkbox bringt keine zusätzliche Rechtssicherheit, kann aber gerade wenn sie fälschlich als Einwilligung verstanden wird, neue Probleme schaffen. Wer seine Formulare, Datenschutzerklärung und Prozesse dahingehend prüfen lassen möchte, ist bei uns richtig.