Datenschutzhinweis oder Einwilligung? Was die DSGVO von KMU verlangt

Die kurze Antwort: Nach der Datenschutz-Grundverordnung (DSGVO) müssen Sie Menschen bei jeder Erhebung ihrer Daten informieren (Art. 13 und 14 DSGVO), und dafür brauchen Sie keine Zustimmung. Die Einwilligung ist dagegen nur eine von sechs Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO. Stützt sich eine Verarbeitung auf einen Vertrag, eine rechtliche Verpflichtung oder ein berechtigtes Interesse, holen Sie keine zusätzliche Einwilligung ein; sie schafft dort keine Sicherheit, sondern neue Probleme. Wo eine Einwilligung wirklich nötig ist, etwa für einen Newsletter, muss sie freiwillig, informiert, nachweisbar und von anderen Erklärungen klar getrennt sein.

Informationspflicht: immer, unabhängig von der Rechtsgrundlage

Art. 13 DSGVO gilt, wenn Sie Daten direkt bei der Person erheben, etwa über ein Formular oder im Gespräch. Die Informationen sind „zum Zeitpunkt der Erhebung“ mitzuteilen. Die Pflicht hängt nicht davon ab, worauf Sie die Verarbeitung stützen: Auch bei einer Verarbeitung zur Vertragserfüllung informieren Sie, und die Rechtsgrundlage gehört ausdrücklich zu den Pflichtangaben (Art. 13 Abs. 1 lit. c).

Art. 14 DSGVO greift, wenn die Daten aus einer anderen Quelle stammen, zum Beispiel aus der Empfehlung eines Geschäftspartners oder aus einem öffentlichen Verzeichnis. Dann informieren Sie innerhalb einer angemessenen Frist, längstens innerhalb eines Monats; nutzen Sie die Daten zur Kontaktaufnahme, spätestens bei der ersten Mitteilung; geben Sie sie weiter, spätestens bei der ersten Offenlegung (Art. 14 Abs. 3). Zusätzlich nennen Sie die Quelle der Daten (Art. 14 Abs. 2 lit. f).

Die Form regelt Art. 12 Abs. 1: präzise, transparent, verständlich und leicht zugänglich, in klarer und einfacher Sprache. Dass Sie die Grundsätze der DSGVO einhalten, müssen Sie selbst nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2).

Was gehört in den Datenschutzhinweis?

Bei der Direkterhebung verlangen Art. 13 Abs. 1 und 2 DSGVO insbesondere:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls seines Vertreters, sowie gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,
• die Zwecke der Verarbeitung und die Rechtsgrundlage,
• bei einer Verarbeitung nach Art. 6 Abs. 1 lit. f die berechtigten Interessen, die Sie oder ein Dritter verfolgen,
• gegebenenfalls die Empfänger oder Kategorien von Empfängern,
• gegebenenfalls die Absicht, Daten an ein Drittland zu übermitteln, und ob ein Angemessenheitsbeschluss der Kommission vorliegt oder auf welche Garantien Sie sich stützen,
• die Speicherdauer oder, falls das nicht möglich ist, die Kriterien für ihre Festlegung,
• die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit,
• bei einer Einwilligung das Recht, sie jederzeit zu widerrufen,
• das Beschwerderecht bei einer Aufsichtsbehörde,
• ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist und welche Folgen die Nichtbereitstellung hätte,
• gegebenenfalls eine automatisierte Entscheidungsfindung einschließlich Profiling, mit aussagekräftigen Informationen über die involvierte Logik.

Bei Daten aus anderen Quellen kommen nach Art. 14 die Kategorien der verarbeiteten Daten und die Quelle hinzu. Verfügt die Person bereits über die Informationen, entfällt die Pflicht insoweit (Art. 13 Abs. 4, Art. 14 Abs. 5 lit. a).

Wenig hilfreich ist ein pauschaler Satz wie „Wir verarbeiten Ihre Daten auf Grundlage von Art. 6 DSGVO“. Art. 13 Abs. 1 lit. c verlangt die Zwecke und die Rechtsgrundlage; nachvollziehbar wird das erst, wenn Sie jedem Zweck seinen Buchstaben aus Art. 6 Abs. 1 zuordnen.

Einwilligung: eine Rechtsgrundlage unter sechs

Art. 6 Abs. 1 DSGVO erlaubt eine Verarbeitung, wenn mindestens eine dieser Bedingungen erfüllt ist:

• (a) Einwilligung der betroffenen Person für einen oder mehrere bestimmte Zwecke,
• (b) Erfüllung eines Vertrags mit der Person oder vorvertragliche Maßnahmen auf ihre Anfrage,
• (c) Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen,
• (d) Schutz lebenswichtiger Interessen der Person oder einer anderen natürlichen Person,
• (e) Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt,
• (f) Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen.

Eine Einwilligung ist nach Art. 4 Nr. 11 eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“ in Form einer Erklärung oder einer eindeutigen bestätigenden Handlung. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sind keine Einwilligung (Erwägungsgrund 32). Art. 7 ergänzt: Sie müssen die Einwilligung nachweisen können (Abs. 1), die Person kann sie jederzeit widerrufen, Sie weisen vor der Abgabe darauf hin, und der Widerruf muss so einfach sein wie die Erteilung (Abs. 3).

Wann die Einwilligung die falsche Grundlage ist

1. Einwilligung „zur Sicherheit“ für Vertragsdaten

Für Angebot, Auftrag, Lieferung und Rechnung stützen Sie sich auf Art. 6 Abs. 1 lit. b, für gesetzliche Aufbewahrungspflichten auf lit. c; nach § 257 HGB müssen Kaufleute etwa empfangene Handelsbriefe und Buchungsbelege aufbewahren. Eine zusätzliche Einwilligung führt hier in eine Sackgasse: Die Person kann sie jederzeit widerrufen, Sie müssen die Unterlagen aber weiter aufbewahren. Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, hält in ihrem Kurzpapier Nr. 20 fest, dass ein willkürliches Wechseln zwischen Einwilligung und anderen Rechtsgrundlagen nicht möglich ist, auch nicht nach einem Widerruf.

2. Die Leistung an eine unnötige Einwilligung koppeln

Ob eine Einwilligung freiwillig ist, beurteilt sich nach Art. 7 Abs. 4 auch danach, ob die Erfüllung eines Vertrags von einer Einwilligung in eine Verarbeitung abhängig gemacht wird, die für den Vertrag nicht erforderlich ist. Nach Erwägungsgrund 43 gilt eine Einwilligung zudem nicht als freiwillig, wenn zu verschiedenen Verarbeitungsvorgängen nicht gesondert eingewilligt werden kann, obwohl das im Einzelfall angebracht ist. Ein Pflichtkästchen „Ich willige in Newsletter und Datenweitergabe ein“ im Bestellformular ist mit diesen Maßstäben kaum vereinbar.

3. Information und Einwilligung vermischen

Wird die Einwilligung in einer schriftlichen Erklärung abgegeben, die noch andere Sachverhalte betrifft, muss das Ersuchen um Einwilligung nach Art. 7 Abs. 2 von diesen anderen Sachverhalten klar zu unterscheiden sein. Für den Datenschutzhinweis selbst verlangt Art. 13, dass Sie informieren, nicht, dass die Person zustimmt. Ein Pflicht-Häkchen „Ich akzeptiere die Datenschutzerklärung“ sieht die DSGVO dafür nicht vor, und es kann den Eindruck erwecken, die Verarbeitung beruhe auf einer Einwilligung. Klarer ist ein Satz wie „Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung“ mit Link, dazu ein eigenes, nicht vorausgewähltes Kästchen nur dort, wo Sie tatsächlich eine Einwilligung brauchen.

Drei typische Prozesse in KMU

Die folgenden Beispiele sind ein allgemeiner Rahmen. Welche Grundlage Ihren Prozess trägt, hängt von Daten, Zweck und Kontext ab.

Kontaktformular auf der Website

Fragt jemand ein Angebot an, ist die Antwort typischerweise eine vorvertragliche Maßnahme auf Anfrage der Person (Art. 6 Abs. 1 lit. b). Bei allgemeinen Anfragen kommt das berechtigte Interesse (lit. f) in Betracht; dann nennen Sie dieses Interesse im Hinweis (Art. 13 Abs. 1 lit. d).

• Machen Sie die Informationen direkt am Formular leicht zugänglich, etwa über einen gut sichtbaren Link (Art. 12 Abs. 1).
• Machen Sie nur die Felder zu Pflichtfeldern, die Sie für die Antwort brauchen (Datenminimierung, Art. 5 Abs. 1 lit. c).
• Bieten Sie im selben Formular einen Newsletter an, wird daraus ein eigenes, nicht vorausgewähltes Kästchen.

Kunden und Interessenten im CRM

Kontaktdaten, Angebote und Bestellhistorie von Kunden verarbeiten Sie zur Vertragserfüllung (lit. b); Rechnungen und Buchungsbelege unterliegen gesetzlichen Aufbewahrungspflichten (lit. c). Nehmen Sie Interessenten aus einer anderen Quelle auf, etwa über die Empfehlung eines Geschäftspartners, gilt Art. 14: Sie informieren spätestens bei der ersten Kontaktaufnahme und nennen die Quelle. Legen Sie außerdem fest, wer im Team welche Datensätze sieht; die DSGVO verlangt eine angemessene Sicherheit einschließlich Schutz vor unbefugter Verarbeitung (Art. 5 Abs. 1 lit. f).

Wollen Sie Interessenten per E-Mail bewerben, gilt in Deutschland zusätzlich das Wettbewerbsrecht, siehe den nächsten Abschnitt.

Newsletter und E-Mail-Werbung

Datenschutzrechtlich kann Direktwerbung nach Erwägungsgrund 47 als eine Verarbeitung betrachtet werden, die einem berechtigten Interesse dient. Für Unternehmen in Deutschland setzt aber § 7 UWG (Gesetz gegen den unlauteren Wettbewerb) engere Grenzen: Werbung unter Verwendung elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten ist stets eine unzumutbare Belästigung (§ 7 Abs. 2 Nr. 2 UWG). Anders als bei der Telefonwerbung (Nr. 1) unterscheidet die Vorschrift dabei nicht zwischen Verbrauchern und anderen Marktteilnehmern.

Eine Ausnahme für Bestandskunden enthält § 7 Abs. 3 UWG. Sie greift nur, wenn alle vier Voraussetzungen erfüllt sind:

• Sie haben die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten,
• Sie nutzen sie zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen,
• der Kunde hat der Verwendung nicht widersprochen,
• Sie weisen bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hin, dass er jederzeit widersprechen kann, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen.

Für alle anderen Empfänger brauchen Sie eine Einwilligung, die Sie nachweisen können (Art. 7 Abs. 1 DSGVO). Die DSK hält dafür das bloße Speichern einer IP-Adresse nicht für ausreichend; die konkrete Einwilligungserklärung jeder Person ist vollständig zu dokumentieren (Kurzpapier Nr. 20). Ein Bestätigungslink per E-Mail (Double-Opt-in) kann dabei helfen. Widerspricht jemand der Direktwerbung, dürfen Sie seine Daten für diese Zwecke nicht mehr verarbeiten (Art. 21 Abs. 2 und 3 DSGVO). Auf dieses Recht weisen Sie spätestens bei der ersten Kommunikation ausdrücklich und getrennt von anderen Informationen hin (Art. 21 Abs. 4).

Kurze Checkliste

• Haben Sie für jeden Erhebungspunkt (Formular, Vertrag, CRM-Eintrag, Telefonat) Zweck und Rechtsgrundlage nach Art. 6 Abs. 1 festgehalten?
• Haben Sie Einwilligungstexte für Verarbeitungen entfernt, die auf Vertrag, Gesetz oder berechtigtem Interesse beruhen?
• Enthält Ihr Datenschutzhinweis alle Angaben nach Art. 13, bei Daten aus anderen Quellen zusätzlich nach Art. 14?
• Sind Einwilligungen freiwillig, nicht vorausgewählt, von anderen Erklärungen getrennt und einzeln nachweisbar?
• Ist der Widerruf so einfach wie die Erteilung?
• Erfüllt Ihr E-Mail-Versand die Vorgaben von § 7 UWG?
• Stimmen Ihre Hinweise mit Ihrem Verzeichnis von Verarbeitungstätigkeiten überein?

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung.