Keine Einwilligung durch vorangekreuztes Kästchen

Der Europäische Gerichtshof entschied am 11.11.2020, dass durch ein bereits vorangekreuztes Kästchen auf einem Vertrag keine wirksame Einwilligung in die Verarbeitung personenbezogener Daten gegeben werden könne.

Wie muss in die Datenverarbeitung eingewilligt werden?

Klägerin war ein rumänisches Telekommunikationsunternehmen, Beklagte die nationale rumänische Datenschutzbehörde. Die Beklagte verhängte gegen die Klägerin eine Geldbuße, weil diese Ausweiskopien ohne ausdrückliche Einwilligung ihrer Kunden aufbewahrt hatte. Das betreffende Einwilligungs-Kästchen war vor Unterzeichnung des jeweiligen Mobilfunkvertrages bereits angekreuzt. Hiergegen ging die Klägerin vor. Das zuständige rumänische Gericht legte dem EuGH die Frage vor, unter welchen Voraussetzungen die Einwilligung von Kunden in die Verarbeitung personenbezogener Daten als rechtmäßig im Sinne der Datenschutzgrundverordnung (DSGVO) angesehen werden könne.

Keine Einwilligung durch Stillschweigen oder Untätigkeit

Der Europäische Gerichtshof wies zunächst darauf hin, dass Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung) eine abschließende Aufzählung der Fälle vorsieht, in denen die Datenverarbeitung als rechtmäßig angesehen werden könne. Somit müsse die Einwilligung der betreffenden Person freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen. Bei Stillschweigen, bereits angekreuzten Kästchen oder Untätigkeit könne eine Einwilligung nicht gültig erteilt werden. Dies gelte für die DSGVO genauso wie für die davor geltende Datenschutzrichtlinie (Richtlinie 95/46). Zwar werde im 32. Erwägungsgrund der DSGVO ausgeführt, dass der Ausdruck der Einwilligung u.a. durch Anklicken eines Kästchens beim Besuch einer Website erfolgen könne. Es werde aber ausdrücklich ausgeschlossen, dass bei „Stillschweigen, bereits angekreuzte(n) Kästchen oder Untätigkeit“ eine Einwilligung gegeben sei.

Für den konkreten Fall

Außerdem müsse die Einwilligung „für den konkreten Fall“ erfolgen, so das Gericht weiter. Sie müsse sich also gerade auf die betreffende Datenverarbeitung beziehen und dürfe nicht aus einer Willensbekundung zu einem anderen Gegenstand abgeleitet werden.

In Kenntnis der Sachlage

Weiterhin befand der EuGH, dass die Einwilligung „in Kenntnis der Sachlage“ bzw. „in informierter Weise“ erfolgen müsse. Dies bedeute, dass die betroffenen Personen über alle Umstände im Zusammenhang mit der Datenverarbeitung zu informieren seien. Dies habe in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu erfolgen. Diese Personen seien durch die Informationen in die Lage zu versetzen, die Konsequenzen ihrer Einwilligung leichter abschätzen zu können. Nur dann könne die Einwilligung in voller Kenntnis der Sachlage erfolgen. Dazu gehöre, dass die Betroffenen über die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, zu informieren sind.

Nachweis der Einwilligung

Der Gerichtshof war der Ansicht, die Klägerin müsse die Rechtmäßigkeit der Datenverarbeitung nachweisen und damit eine gültige Einwilligung ihrer Kunden. Denn die Beklagte sei die für die Datenverarbeitung Verantwortliche. Der bloße Umstand, dass das Kästchen vorangekreuzt sei, reiche nicht als Nachweis aus. Zwar seien die betroffenen Kunden durch vertragliche Klauseln über die Datenverarbeitung informiert worden. Diese Verträge mit dem vorangekreuzten Kästchen seien auch unterzeichnet worden. Dies reiche aber für sich genommen nicht aus, um eine solche Einwilligung nachzuweisen. Vielmehr müsse nachgewiesen werden, dass die Klausel zur Datenverarbeitung tatsächlich gelesen und verstanden wurde. Es sei damit Sache des vorlegenden Gerichts, die dafür erforderlichen Feststellungen zu treffen.

Europäischer Gerichtshof, Urteil vom 11.11.2020, Az. C-61/19