Beim letzten Online-Shopping traf mich fast der Schlag. Während des Bestellvorgangs sollte ich auf diversen Dokumenten die Optionen
- Verkaufsbestätigung
- Allgemeine Geschäftsbedingungen (AGB)
- Widerrufserklärung
- Datenschutzerklärung
- Datenweitergabe an einen Versanddienst
- Möglichkeit zur Lieferungsnachverfolgung
bzw. eine Checkbox aktivieren, um meine Einwilligung und Kenntnisnahme der jeweiligen zu dokumentieren.
DSGVO
Nach der Datenschutz Grundverordnung (DSGVO) gilt, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn eine hinreichende Rechtsgrundlage vorliegt. Hierzu zählt insbesondere die Einwilligung der jeweils betroffenen Person, aber es werden in Artikel 6 der DSGVO weitere genannt.
Große Unsicherheit
In diesem Artikel geht es um die Frage, ob bzw. wann eine datenschutzrechtliche Einwilligung zu einer Verarbeitung mit Ankreuzkästchen einzuholen ist und in welchen Fällen eine solche Zustimmung entfallen kann, weil eine andere Rechtsgrundlage gilt.
Woher rührt die Vermutung, dass man für Kontaktformulare, Newsletteranmeldungen, in Registrierungsbereichen oder unter Eingabemasken eine Checkbox benötigt? In der Praxis gibt es anscheinend eine große Verunsicherung, denn Checkboxen werden vorsichtshalber überall implementiert, auch wenn es nicht nötig ist. Betrachten wir einige der oben genannten Dokumente und prüfen, ob die Notwendigkeit eines Ankreuzkästchens erforderlich ist.
Vertragserfüllung
Für Angebotsanforderungen, Angebote und Verträge gilt als Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, der für die personenbezogene Datenverarbeitung im Rahmen vorvertraglicher Maßnahmen oder Informationen zur Vertragserfüllung relevant ist. Ein Ankreuzkästchen unterhalb des Kontaktformulars ist überflüssig. Auch ist bei einem Vertragsschluss über einen Onlineshop das Verwenden einer Checkbox für das wirksame Einbeziehen der AGB nicht erforderlich. Es reicht, wenn die Möglichkeit zur Kenntnisnahme in zumutbarer Weise gegeben ist, zum Beispiel mittels eines Links.
Falsche Verwendung
Unzulässig ist, wenn Webseitenbesucher mittels eines Ankreuzkästchens bestätigen sollen, dass sie die Datenschutzerklärung gelesen haben und akzeptieren. Eine typische Formulierung lautet:
„Ich habe die Datenschutzbestimmungen zur Kenntnis genommen und akzeptiere diese.“
Das Zurverfügungstellen gesetzlich vorgeschriebener Informationen (gem. Art. 13 DSGVO) erfordert nicht auch noch eine Zustimmung. Fakt: Die Checkbox ist nicht erforderlich und dies ist ein klassisches Beispiel für die falsche Verwendung. Es reicht, wenn der Webseitenbesucher die Datenschutzerklärung in zumutbarer Weise, z. B. mittels Link, zur Kenntnis nehmen kann. Rechtsgrundlage hier ist die rechtliche Verpflichtung gem. Art. 6 Abs. 1 lit. c DSGVO.
Achtung beim Widerruf
Bei der Widerrufsbelehrung muss man achtgeben. Eine ausdrückliche Bestätigung der Kenntnisnahme von der Widerrufsbelehrung durch den Kunden mittels Checkbox ist in der Regel nicht erforderlich. Ein Link zu dem Dokument inkl. Downloadmöglichkeit sollten angeboten werden. Ausnahmen gelten bei Verträgen zum Kauf digitaler Inhalte, beispielsweise bei Hörbüchern und anderen Produkten im Downloadverfahren. Hier ist eine Checkbox notwendig und es muss sichergestellt sein, dass der Kunde seine Bestellung nur abschicken kann, wenn er die Checkbox angekreuzt hat. Ansonsten könnte es geschehen, dass er sich die Inhalte aneignet und anschließend den Kauf widerruft. Der Text sollte separat dargestellt werden und könnte in etwa wie folgt lauten:
„Ich stimme zu, dass vor Ablauf der Widerrufsfrist mit der Ausführung des Vertrags begonnen wird. Mir ist bekannt, dass mit Beginn der Ausführung mein Widerrufsrecht erlischt.“
Berechtigtes Interesse
Bei einem Kontaktformular auf der Webseite ist zu prüfen, welche Angaben zwingend für die Beantwortung einer Anfrage erforderlich sind. Normalerweise sind dies der Name und die E-Mail-Adresse. Füllt der Webseitenbesucher ein Kontaktformular aus und sendet es ab, erwartet er eine Antwort. Dass der Verantwortliche für das Feedback auf diese Informationen zugreifen muss, ist Voraussetzung. Sowohl das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) des Webseitenbetreibers, einem Internetnutzer zeitnah zu antworten, als auch Art. 6 Abs. 1 lit. a DSGVO stellen hier die Rechtsgrundlagen dar, denn die Einwilligung in die personenbezogene Datenverarbeitung kann angenommen werden.
Einwilligung erforderlich
Werden mit dem Kontaktformular weitere Angaben, wie Adresse, Telefonnummer etc., die nicht für die Beantwortung der Kundenfrage Anfrage notwendig sind, zwingend abgefragt, wird eine Checkbox benötigt, damit der Webseitenbesucher Kunde in die Verarbeitung dieser Angaben einwilligen kann. Dabei ist darauf zu achten, dass die im Datenschutzrecht definierten Anforderungen an die Einwilligung beachtet werden. Sie Die Einwilligung muss freiwillig für den konkret bestimmten Fall, in informierter Weise und unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutig bestätigenden Handlung abgegeben werden.
Rechtliche Verpflichtung
Die Verarbeitung personenbezogener Daten über ein Kontaktformular kann auch auf der Rechtsgrundlage rechtliche Verpflichtung gemäß. Art. 6 Abs. 1 lit. c DSGVO erfolgen, nämlich dann, wenn der Webseitenbetreiber gezwungen ist, auf eine Frage zu reagieren. Als Beispiel sind Nachrichten zur Wahrnehmung eines Betroffenenrechts, z. B. das „Recht auf Datenauskunft“ zu nennen. Das Datenschutzrecht sieht eine Bearbeitung der Anfrage innerhalb eines Zeitraums von einem Monat vor.
Zustimmung mit Checkbox
Möchte der ein Shopbetreiber nach dem Kauf per E-Mail Bewertungsanfragen an seine Kunden schicken, ist das mit einer zuvor ausdrücklich eingeholten informierten Einwilligung des Kunden zulässig. Da solche Bewertungsfragen aus rechtlicher Sicht als Werbung gelten, die der Absatzförderung dienen, muss die Einwilligung mittels Ankreuzkästchen im Onlineshop eingeholt werden.
Einwilligung für Zusatzinformationen
Das Weitergeben personenbezogener Daten des Kunden vom Webshopbetreiber an einen Paketdienstleister zum Zweck der Warenlieferung beschränkt sich auf die Informationen, die der Dienstleister für das Liefern der Ware benötigt. E-Mail-Adresse und Telefonnummern gehören in der Regel nicht dazu. Für die Weitergabe solcher Zusatzinformationen sollte der Webshopbetreiber die vorherige Einwilligung des Kunden einholen. Relevant ist dies zum Beispiel für Speditionen, die mit Kunden einen Zustelltermin abstimmen müssen.
Praxisbeispiel Bewerbungsportal
Wie schaut die Rechtsgrundlage bei Online- und Firmenbewerbungsportalen aus? Auch hier sieht man unter-halb der auszufüllenden Eingabefelder und des Upload-Fensters für Anlagen eine verpflichtend zu bestätigende Checkbox mit beispielsweise folgenden Texten:
„Ich stimme der geltenden Privacy Policy zu.“ (mit einem Link auf den Privacy Policy Text zum Beachten). Alternativ: „Hiermit willige ich in die Verarbeitung meiner personenbezogenen Daten im Rahmen des Bewerbungsverfahrens ein.“
Falsche Rechtsgrundlage
Oder es wird als Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO angegeben, was falsch ist. Zwar fallen hierunter vertragliche Regelungen, nicht aber die personenbezogene Datenverarbeitung im Rahmen des Bewerbungsprozesses und Beschäftigungsverhältnisses. Rechtsgrundlage für das Erheben und Verarbeiten erforderlicher Bewerberdaten ist § 26 Abs. 1 S. 1 Bundesdatenschutzgesetz, „wenn dies zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist“.
Fazit
Es ist festzuhalten, dass viel zu oft versucht wird, mit Ankreuzkästchen eine überflüssige Einwilligung in Datenverarbeitungen einzuholen, für die andere Rechtsgrundlagen relevant sind. Checkboxen sollten nur dort als Instrument genutzt werden, wo explizit eine Zustimmung von der betroffenen Person eingeholt werden muss. Ob mit Häkchen oder mit Kreuz, die Entscheidung muss optional, freiwillig und informiert erfolgen.
