Sofern eine Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist, kann eine Verarbeitung auf die Rechtsgrundlage Art. 6 Abs. 1 Buchst. b DSGVO gestützt werden. Bietet der Hersteller eines Produkts, unabhängig davon, über welchen Vertriebsweg seine Produkte erworben wurden, eine Garantie für seine Produkte an und müssen sich Käufer hierzu über ein Online-Formular registrieren, ist genau zu prüfen, welche personenbezogenen Daten hierfür erforderlich sind.
So kann es erforderlich sein, den Vor- und Nachnamen sowie die Bestellnummer und das Kaufdatum zu erheben und für die Laufzeit der Garantie zu speichern, u. a. um im Garantiefall die von den Garantieberechtigten angeführten Daten abzugleichen. Ob die Erhebung einer E-Mail-Adresse zur Erfüllung des Garantievertrags erforderlich ist, bedürfte weiterer Prüfung. Sofern die E-Mail-Adresse nicht bereits im Rahmen der Kaufvertragsabwicklung erhoben wird, ist dieses Datum zum Abgleich untauglich. Dennoch kann eine Kontaktmöglichkeit zu den Kundinnen und Kunden zum Zweck der Garantievertragsdurchführung dienlich und die diesbezügliche Erhebung und Verarbeitung zu diesem Zweck von Art. 6 Abs. 1 Buchst. b DSGVO umfasst sein.
Wenn Verantwortliche die erhobene E-MailAdresse verwenden möchten, um Direktwerbung zu versenden, bedarf es für diesen Zweck jedoch einer gesonderten Rechtsgrundlage. In Betracht käme, die Verarbeitung der E-MailAdressen der Kundinnen und Kunden, die sich für eine erweiterte Garantie registrieren, zu Zwecken der Direktwerbung auf Art. 6 Abs. 1 Buchst. f DSGVO in Verbindung mit § 7 Abs. 3 UWG oder aber auf eine Einwilligung gemäß Art. 6 Abs. 1 Buchst. a DSGVO in Verbindung mit § 7 Abs. 2 UWG zu stützen. Voraussetzung der zuletzt genannten Variante ist, dass die jeweils betroffenen Personen eine wirksame Einwilligung abgegeben haben. Wirksamkeitsvoraussetzung einer Einwilligung ist u. a., dass eine Einwilligung freiwillig erteilt wird.
Der Europäische Datenschutzausschuss schreibt hierzu in den „Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/679“:
„Wenn die Einwilligung ein nicht verhandelbarer Teil von Geschäftsbedingungen ist, wird angenommen, dass die Einwilligung nicht freiwillig erteilt wurde. Entsprechend wird eine Einwilligung nicht als freiwillig angesehen, wenn die betroffene Person die Einwilligung nicht verweigern oder zurückziehen kann, ohne Nachteile zu erleiden.”
„Art. 7 Abs. 4 der DSGVO weist u. a. darauf hin, dass eine Situation, in der die Einwilligung mit der Annahme von Vertragsbedingungen „gebündelt“ wird oder die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung mit dem Ersuchen um Einwilligung in eine Verarbeitung von personenbezogenen Daten „verknüpft“ wird, die für die Erfüllung des Vertrags nicht erforderlich sind, als in höchstem Maße unerwünscht angesehen wird. Wird die Einwilligung in einer solchen Situation erteilt, gilt sie als nicht freiwillig erteilt (Erwägungsgrund 43). Mit Art. 7 Abs. 4 soll sichergestellt werden, dass der Zweck der Verarbeitung personenbezogener Daten nicht getarnt oder mit der Erfüllung eines Vertrags oder der Erbringung einer Dienstleistung gebündelt wird, für die diese personenbezogenen Daten nicht erforderlich sind. Dadurch stellt die DSGVO sicher, dass die Verarbeitung personenbezogener Daten, um deren Einwilligung ersucht wird, nicht direkt oder indirekt zur Gegenleistung für einen Vertrag werden kann. Die beiden Rechtsgrundlagen für die rechtmäßige Verarbeitung personenbezogener Daten, d.h. Einwilligung und Vertrag, können nicht zusammengeführt werden und ihre Grenzen dürfen nicht verschwimmen.”
„Der Verantwortliche muss nachweisen, dass es möglich ist, die Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden (Erwägungsgrund 42). […]
Wenn ein Verantwortlicher nachweisen kann, dass eine Dienstleistung die Möglichkeit umfasst, die Einwilligung ohne negative Folgen zu widerrufen, z.B. ohne dass die Erbringung der Dienstleistung zum Nachteil des Nutzers herabgestuft wird, kann das helfen zu zeigen, dass die Einwilligung freiwillig erteilt wurde. Die DSGVO schließt nicht alle Anreize aus, aber die Beweislast für den Nachweis, dass die Einwilligung unter allen Umständen freiwillig erteilt wurde, würde beim Verantwortlichen liegen.”
Sofern dieser Nachweis gelingt, kann eine solche Einwilligung auch mit der Erbringung einer Dienstleistung verbunden werden.
Quelle: ULD
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks