Zustimmung zur Datenschutzerklärung: Wirklich erforderlich?

Online-Händler müssen sich die Datenschutzerklärung von ihren Kunden grundsätzlich nicht bestätigen lassen. Eine Checkbox ist dafür weder erforderlich noch bietet sie eine zusätzliche rechtliche Absicherung.

Muss die Datenschutzerklärung mit einer Checkbox bestätigt werden?

Nein. Die Datenschutzerklärung dient dazu, Kunden über die Verarbeitung ihrer personenbezogenen Daten zu informieren. Sie ist keine Erklärung, der der Kunde zustimmen muss.

Art. 13 und 14 DSGVO verpflichten Händler, ihren Kunden bestimmte Informationen über die Verarbeitung personenbezogener Daten zur Verfügung zu stellen. Nach Art. 12 Abs. 1 DSGVO müssen diese insbesondere transparent, verständlich und leicht zugänglich sein.

Eine Zustimmung oder Bestätigung der Kenntnisnahme verlangt die DSGVO dagegen nicht.

Eine Checkbox wie diese

ist daher grundsätzlich nicht erforderlich.

Ist die Checkbox zumindest als Nachweis sinnvoll?

Nein. Händler müssen sich den Erhalt oder die Kenntnisnahme der Datenschutzinformationen nicht von ihren Kunden bestätigen lassen.

Einen vergleichbaren Fall behandelte die Datenschutzkonferenz (DSK) in einem Beschluss vom 05.09.2018. Dort ging es zwar nicht um eine Checkbox im Online-Shop, sondern um Unterschriften unter Datenschutzinformationen in Arztpraxen. Ärzte verlangten von Patienten eine solche Unterschrift und verweigerten andernfalls die Behandlung oder drohten damit.

Die DSK hielt diese Praxis für nicht mit der DSGVO vereinbar. Die Informationspflicht solle gewährleisten, dass Betroffene die Informationen einfach und ohne Umwege erhalten können. Ob sie diese tatsächlich zur Kenntnis nehmen, sei dagegen ihre Sache.

Auch zum Nachweis der erfüllten Informationspflichten sei eine Bestätigung nicht erforderlich. Stattdessen könne etwa die Aushändigung der Informationen vermerkt oder der übliche Ablauf dokumentiert werden, nach dem Betroffene die Informationen erhalten.

In dieselbe Richtung geht der Bayerische Landesbeauftragte für den Datenschutz. Auch die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO rechtfertige es nicht, eine Unterschrift unter die Datenschutzinformationen zu verlangen.

Für eine Checkbox im Online-Shop gilt nichts anderes. Auch dort muss der Händler dafür sorgen, dass der Kunde die Datenschutzinformationen erhält oder ohne Weiteres auf sie zugreifen kann. Bestätigen muss der Kunde deren Erhalt oder Kenntnisnahme dagegen nicht.

Auch als zusätzlicher Nachweis hilft die Checkbox kaum. Sie dokumentiert zunächst nur, dass der Kunde ein Häkchen gesetzt hat. Welche Fassung der Datenschutzerklärung ihm zu diesem Zeitpunkt zur Verfügung stand, lässt sich daraus allein nicht entnehmen.

Zustimmung zur Datenschutzerklärung ist keine Einwilligung

Wer einer Datenschutzerklärung pauschal zustimmt, erteilt damit noch keine datenschutzrechtliche Einwilligung.

Die Datenschutzerklärung informiert den Kunden darüber, wie seine personenbezogenen Daten verarbeitet werden. Mit einer Einwilligung erlaubt der Kunde dagegen eine bestimmte Datenverarbeitung.

Eine solche Einwilligung muss nach Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall, informiert und unmissverständlich erteilt werden. Wird sie zusammen mit anderen Erklärungen eingeholt, muss das Einwilligungsersuchen nach Art. 7 Abs. 2 DSGVO von diesen klar zu unterscheiden sein.

Auch die EDSA-Leitlinien 05/2020 zur Einwilligung betonen, dass Einwilligungen nicht mit anderen Erklärungen vermischt werden dürfen.

Eine pauschale Erklärung wie

"Ich stimme der Datenschutzerklärung zu."

kann eine konkrete Einwilligung daher nicht ersetzen. Eine Datenschutzerklärung informiert in aller Regel über ganz unterschiedliche Datenverarbeitungen. Welche davon der Kunde mit seiner Erklärung erlauben soll, bleibt offen.

Benötigt ein Händler beispielsweise eine Einwilligung für den Versand eines Newsletters, muss er diese gesondert einholen. Auch für nicht unbedingt erforderliche Cookies und vergleichbare Zugriffe auf das Endgerät verlangt § 25 Abs. 1 TDDDG grundsätzlich eine Einwilligung.

Welche Probleme kann eine Zustimmung verursachen?

Eine pauschale Zustimmung zur Datenschutzerklärung ist nicht nur unnötig. Sie lässt auch offen, welche Bedeutung die Erklärung des Kunden überhaupt haben soll.

Mit einer vergleichbaren Unklarheit befasste sich der Europäische Datenschutzausschuss (EDSA) in seiner Bindenden Entscheidung 5/2022 zu WhatsApp Ireland. Der EDSA beanstandete unter anderem, dass für die Nutzer nicht hinreichend klar war, welche Bedeutung ihre Zustimmung zu aktualisierten Nutzungsbedingungen für die Verarbeitung ihrer Daten hatte. Darin sah er einen Verstoß gegen Art. 5 Abs. 1 lit. a DSGVO. Gegen den Beschluss läuft ein Nichtigkeitsverfahren vor dem Gericht der Europäischen Union (T-153/23).

Auch vertragsrechtlich kann eine Datenschutzerklärung relevant werden. Enthält sie nicht nur Informationen zur Datenverarbeitung, sondern auch Regelungen zum Vertragsverhältnis, können diese als Allgemeine Geschäftsbedingungen der AGB-Kontrolle unterliegen.

So behandelte das Kammergericht Berlin mit Urteil vom 27.12.2018 (Az. 23 U 196/13) Teile einer Apple-Datenschutzrichtlinie als Allgemeine Geschäftsbedingungen. Auch der österreichische OGH nahm mit Urteil vom 23.11.2022 (Az. 7 Ob 112/22d) bei einer vom Kunden zu bestätigenden Datenschutzinformation eine Klauselkontrolle vor.

Eine Zustimmungs-Checkbox macht die Datenschutzerklärung zwar nicht automatisch zu AGB. Sie kann aber zusätzlich den Eindruck vermitteln, dass der Kunde nicht lediglich informiert wird, sondern den darin enthaltenen Bestimmungen verbindlich zustimmen soll.

Fazit

Online-Händler müssen sich die Datenschutzerklärung von ihren Kunden weder bestätigen lassen noch deren Zustimmung einholen. Auch als Nachweis ist eine Checkbox nicht erforderlich.

Wird für eine bestimmte Datenverarbeitung eine Einwilligung benötigt, muss diese gesondert und für den jeweiligen Zweck eingeholt werden.

Eine pauschale Zustimmungs-Checkbox bringt dagegen keine zusätzliche Absicherung. Im Gegenteil: Sie kann erst die Frage aufwerfen, was der Kunde mit seiner Zustimmung eigentlich erklären soll. Händler sollten darauf verzichten.