Ein Beschwerdeführer machte geltend, dass von einem Verantwortlichen im Rahmen eines Gewinnspiels Art. 5 Abs. 1 Bst. c DSGVO, Art. 6 Abs. 1 Bst. a i.V.m. Art. 7 DSGVO ebenso wie Art. 13 DSGVO verletzt worden seien. Gemäß dem Talon bzw. der Internetseite des Unternehmens in Bezug auf den Wettbewerb könne man nur teilnehmen, wenn man «wie üblich» die Teilnahmebedingungen des Unternehmens akzeptiere. Zudem würden Daten für die Teilnahme erhoben, die über den Zweck des Gewinnspiels hinausgingen.
Die Frage der Verletzung des Grundsatzes der Datenminimierung gemäß Art. 5 Abs. 1 Bst. c DSGVO war von der Datenschutzbehörde zu bejahen, da vom Verantwortlichen für die Durchführung des Gewinnspiels nicht erforderliche Daten wie Geburtsdatum, Geschlecht und Krankenversicherung erhoben wurden. Ebenso war die Frage der Verletzung des Art. 6 Abs. 1 Bst. a i.V.m. Art. 7 DSGVO von der Datenschutzbehörde zu bejahen. Entscheidend für eine rechtmäßige Einwilligung ist, dass für den Wettbewerbsteilnehmer von vornherein klar, verständlich und nachvollziehbar ist, wozu er einwilligt.
Erwägungsgrund 32 DSGVO spezifiziert ähnlich wie Art. 4 Ziff. 11 DSGVO, dass die Einwilligung durch eine eindeutige bestätigende Handlung erfolgen sollte, mit der freiwillig, für den konkreten Fall, in informierter Weise unmissverständlich bekundet wird, dass die betroffene Person, bzw. aktuell der Wettbewerbsteilnehmer, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Dies kann etwa in Form einer schriftlichen Erklärung erfolgen, die auch elektronisch ausgestaltet sein kann.
Um am gegenständlichen Wettbewerb teilnehmen zu können, mussten Wettbewerbsteilnehmer ein Häkchen bei folgendem Satz setzen: «Ich nehme am Wettbewerb teil und akzeptiere die untenstehenden Teilnahmebedingungen». Aus diesem Satz kann nicht eindeutig abgeleitet werden, dass damit eine Einwilligung im datenschutzrechtlichen Sinn abgegeben wird. Kein einziges Wort weist auf eine «Einwilligung» oder «Zustimmung» hin. Erst aus den in wesentlich kleinerer Schriftgrösse angeführten Teilnahmebedingungen kann abgeleitet werden, dass dieser Satz eine Einwilligung impliziert. Erst bei genauem Lesen der Teilnahmebedingungen erfährt der Wettbewerbsteilnehmer in Zeile 6, dass mit der Abwicklung des Gewinnspiels die Verwendung seiner Daten zu Werbezwecken und zur Kontaktaufnahme durch das Unternehmen selbst sowie ein weiteres Partnerunternehmen verbunden ist.
Artikel 6 Abs. 1 Bst. a DSGVO bestätigt, dass die Einwilligung der betroffenen Person für «einen oder mehrere bestimmte» Zwecke erteilt werden muss und dass eine betroffene Person in Bezug auf jeden dieser Zwecke eine Wahlmöglichkeit haben muss. Im vorliegenden Fall werden drei Zwecke vermengt: Abwicklung des Gewinnspiels sowie zu Werbezwecken und zur Kontaktaufnahme durch verschiedene Unternehmen. Gemäß Art. 7 Abs. 3 DSGVO muss zudem die Möglichkeit des Widerrufs der Einwilligung gleich einfach wie die Erteilung der Einwilligung sein. Während das Unternehmen für die vermeintliche Einwilligung ein Kästchen zum Ankreuzen bereit stellte, fand sich in Bezug auf den Widerruf in den Teilnahmebedingungen lediglich der folgende Satz: «Diese Einverständniserklärung kann jederzeit und ohne Angaben von Gründen widerrufen werden». Zur Frage, wo und wie dies geschehen kann, finden sich keine direkten Informationen. Erst in der Datenschutzerklärung auf der Internetseite findet sich auf Seite 7 eine entsprechende E-Mail-Adresse.
Schließlich war auch eine Verletzung der Informationspflicht gemäß Art. 13 DSGVO festzustellen. Auch wenn der vom Unternehmen ins Treffen geführte Mehrebenen-Ansatz vorliegend Anwendung finden kann, wäre dafür eine umfassende Information gemäß Art. 13 DSGVO auf der Internetseite des Unternehmens erforderlich, welche sämtliche Elemente enthält, die in Art. 13 DSGVO gefordert werden. Die Wettbewerbsteilnehmer sind dabei unter anderem über die Art und Weise der Verarbeitung ihrer Daten, den konkreten Zweck sowie die Speicherdauer und Löschfrist entsprechend zu informieren, was allerdings gegenständlich nicht erfolgt ist, weshalb vorliegend der vom Unternehmen genannte Mehrebenen-Ansatz keine Relevanz erlangt.
Quelle: Datenschutzstelle Liechtenstein
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber:innen (Whistleblower)
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks