Ein aktuelles OGH-Urteil (hier das Urteil als PDF) hat wesentliche Auswirkungen auf die Art und Weise, wie eine korrekte Datenschutz-Information erfolgt.

Kurz zum Hintergrund

Hintergrund war eine Klage des VKI (Verein für Konsumenteninformation) gegen eine Versicherung. Diese hatte in einem separaten Blatt über Datenschutz-Bedingungen informiert, auf die bei einem Vertragsabschluss hingewiesen wurde.

Der VKI beanstandete hier mehrere Klauseln. Die Versicherung argumentierte, dass der VKI gar nicht berechtigt war, diese Klauseln zu überprüfen. Doch genau das hat der OGH nun bejaht.

Er erklärte, dass die Bestätigung der Kenntnisnahme einer Datenschutzerklärung durch einen Verbraucher einer Zustimmung zu der Datenverarbeitung gleichzustellen ist und der Inhalt der Erklärung schon aus diesem Grund Gegenstand einer Verbandskontrolle („Klauselkontrolle“) ist.

Was bedeutet das Urteil für die Praxis?

Das Urteil hat weitreichendere Konsequenzen als man auf den ersten Blick vermuten würde. Denn des bedeutet, dass auch Datenschutz-Erklärungen einer Verbandskontrolle unterliegen können.

Diese sog. Klauselkontrolle können Verbände wie der VKI jederzeit vornehmen, ohne konkreten Anlassfall! Es bedarf dazu also keiner Beschwerde eines Betroffenen. Der Verband kann folglich die Datenschutz-Erklärung prüfen und bei einer Beanstandung dessen Verwendung abmahnen oder notfalls bei Gericht die notwendigen Änderungen einklagen.

Deshalb: Überprüfen Sie Ihre Formulare!

Aufgrund des Urteils des OGH sind viele Unternehmen dabei, ihre Formulare zu ändern und für die Datenschutz-Erklärung keine Einwilligung mehr vorzusehen. Aus zwei Gründen:

• Erstens ist das laut DSGVO gar nicht vorgeschrieben (die DSGVO sieht nur eine reine Informations-Verpflichtung vor), und
• zweitens soll damit verhindert werden, dass die Datenschutz-Erklärung eben dieser Verbandskontrolle unterliegt.

Empfehlungen für die Umsetzung in der Praxis

Für die Praxis empfehlen sich folgende konkrete Maßnahmen:

• Weisen Sie auf Ihre Datenschutz-Erklärung hin, jedoch nur als Information, ohne eine Einwilligung zu verlangen. Beispiel: „Hier finden Sie unsere Datenschutzerklärung.“
• Sie sollten jedenfalls keine Checkbox vorsehen (denn das kommt ja einer Einwilligung gleich).
• Hinweis: Wenn Ihr Newsletter-System Verhaltensdaten analysieren kann (Öffnungen bzw. Klicks pro Empfänger), dann brauchen Sie für diese Analyse sehr wohl eine Rechtsgrundlage, z.B. über eine Einwilligung (hier reicht eine Information nicht aus).
• Darauf sollten Sie also unabhängig von der Information über die Datenschutz-Erklärung hinweisen, zum Beispiel mit einem aufklappbaren Text oder mit einem Verweis auf eine separate Detail-Seite.
• Dafür sollte auch eine Checkbox vorgesehen werden, da Sie die Einwilligung protokollieren müssen, um sie im Streitfall nachweisen zu können.
• Tipp: Diese Checkbox (für die Einwilligung zur Analyse der personenbezogenen Verhaltensdaten) darf oft auch verpflichtend sein, d.h. eine Anmeldung für den Newsletter darf von dieser Einwilligung abhängig gemacht werden. Voraussetzung dafür ist ein entsprechender (Informations-) Gegenwert. Beispiel dafür ist das Urteil der österreichischen Datenschutzbehörde im Fall der Zeitung derStandard: Hier wurde erklärt, dass es zulässig ist, den Zugang zu kostenlosen Informationen von der Preisgabe von Daten abhängig zu machen.

Fazit: Wenn Sie verhindern möchten, dass Verbände wie der VKI Ihre Datenschutz-Erklärung überprüft, sollten Sie Ihre Formulare überprüfen. Das kostet nicht allzu viel Zeit, doch Sie sparen sich so vielleicht eine Menge Ärger und in jedem Fall wesentlichen zeitlichen Aufwand.

Noch ein Tipp zum Schluss: Die Datenschutzhinweise müssen dort verfügbar sein, wo Betroffene ihre personenbezogene Daten eingeben – möglichst in unmittelbarer Nähe.