EuGH: Keine wirksame Einwilligung bei vorausgewählter Checkbox

Für die Einwilligung ist ein aktives Verhalten der betroffenen Person erforderlich. Der EuGH (Urt. v. 11.11.2020 – C-61/19) entschied nun, dass ein Vertrag, der eine Klausel enthält, dass ein Kunde über eine Datenverarbeitung informiert worden sei und in diese einwillige, keinen Nachweis für eine rechtmäßige Einwilligung darstelle, wenn die entsprechende Checkbox hierzu bereits vorangekreuzt war.

Die Klägerin bietet Telekommunikationsdienste auf dem rumänischen Markt an. Im Rahmen ihrer Tätigkeit schloss sie Verträge in Papierform über Mobiltelekommunikationsdienste mit Kunden ab. Die Verträge enthielten eine Klausel, dass die Kunden informiert wurden und in die Sammlung und Aufbewahrung einer Kopie ihres Ausweisdokuments zum Zwecke der Identifikation einwilligten. Das diese Klausel betreffende Kästchen wurde von der Beklagten bereits vor Unterzeichnung des Vertrags angekreuzt. Eine mündliche Unterrichtung der Kunden habe jedoch stattgefunden, bevor diese den Vertrag unterschrieben. Kunden, die sich weigerten, in die Sammlung und Aufbewahrung der Ausweiskopie einzuwilligen, konnten ein Formular unterzeichnen, in dem ihre Weigerung zum Ausdruck kam. Ein Vertrag wurde sodann ohne eine vorangekreuzte Einwilligung in die Datenverarbeitung geschlossen.

Die rumänische Behörde zur Überwachung der Verarbeitung personenbezogener Daten verhängte am 28. März 2018, also noch vor Inkrafttreten der DSGVO, eine Geldbuße und forderte den Anbieter auf, die vorhandenen Dokumente zu vernichten. Dagegen erhob der Telekommunikationsanbieter Klage beim zuständigen Landgericht. Das Landgericht Bukarest hatte das Verfahren ausgesetzt und dem EuGH die Fragen zur Vorabentscheidung vorgelegt, ob eine rechtmäßige Einwilligung vorliege und diese anhand des unterschriebenen Vertrages nachgewiesen werden könne.

Anwendbarkeit der DSGVO

Zunächst stellte der EuGH fest, dass die Beurteilung des Sachverhalts anhand der Regelungen der DSGVO erfolge. Obwohl die Geldbuße bereits vor Inkrafttreten der DSGVO verhängt worden ist, sei die Aufforderung der Behörde, die Dokumente zu vernichten, nicht zeitlich begrenzt.

Aus den dem Gerichtshof vorgelegten Akten geht jedoch auch hervor, dass die ANSPDCP mit ihrer Entscheidung Orange România nicht nur eine Geldbuße auferlegt hat, sondern ihr auch aufgegeben hat, die Kopien der in Rede stehenden Ausweisdokumente zu vernichten, und dass es im Ausgangsrechtsstreit auch um die letztgenannte Anordnung geht. Da die Akten keinen Hinweis darauf enthalten, dass der Anordnung vor dem 25. Mai 2018 Folge geleistet worden wäre, ist nicht ausgeschlossen, dass die Verordnung 2016/679 im vorliegenden Fall auf diese Anordnung in zeitlicher Hinsicht anwendbar ist.

Einwilligung erfordert aktives Verhalten

Weiterhin stellte der EuGH auf die Voraussetzungen einer rechtmäßigen Einwilligung im Sinne des Art. 4 Nr. 11 DSGVO ab. Eine Einwilligung müsse demnach ohne jeden Zweifel gegeben werden, es sei ein aktives Verhalten des Betroffenen erforderlich. Verlangt werde eine Erklärung oder eine eindeutig bestätigende Handlung.

Dieselbe Anforderung gilt auch im Rahmen der Verordnung 2016/679. Der Wortlaut von Art. 4 Nr. 11 dieser Verordnung, der u. a. für die Zwecke von Art. 6 Abs. 1 Buchst. a dieser Verordnung die „Einwilligung der betroffenen Person“ definiert, erscheint nämlich noch strenger […], da er eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene“ Willensbekundung der betroffenen Person in Form einer Erklärung oder einer „eindeutigen bestätigenden Handlung“ verlangt, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Eine aktive Einwilligung ist in der Verordnung 2016/679 nunmehr also ausdrücklich vorgesehen.

Vorangekreuzte Kästchen genügen nicht

Anschließend bezog sich das Gericht auf seine Planet49-Entscheidung zum Einwilligungserfordernis bei Cookies und darauf, dass voreingestellte Ankreuzkästchen auf Webseiten keine rechtmäßige Einwilligung darstellen. Bei vorangekreuzten Kästchen könne nicht festgestellt werden, dass ein Nutzer diese wahrgenommen oder die entsprechenden Informationen gelesen habe.

In diesem Zusammenhang wird im 32. Erwägungsgrund dieser Verordnung zwar ausgeführt, dass der Ausdruck der Einwilligung u. a. durch Anklicken eines Kästchens beim Besuch einer Website geschehen könnte, doch wird ausdrücklich ausgeschlossen, dass bei „Stillschweigen, bereits angekreuzte[n] Kästchen oder Untätigkeit“ eine Einwilligung vorliegt. Wie der Gerichtshof bereits entschieden hat, ist es in einem solchen Fall praktisch unmöglich, objektiv zu bestimmen, ob der Nutzer einer Website tatsächlich seine Einwilligung in die Verarbeitung seiner personenbezogenen Daten gegeben hat, indem er die voreingestellte Markierung eines Kästchens nicht aufgehoben hat, und ob diese Einwilligung überhaupt in informierter Weise erteilt wurde. Es kann nämlich nicht ausgeschlossen werden, dass der Nutzer die dem voreingestellten Ankreuzkästchen beigefügte Information nicht gelesen hat oder dass er dieses Kästchen gar nicht wahrgenommen hat, bevor er seine Aktivität auf der von ihm besuchten Website fortsetzte.

Nachweis einer rechtmäßigen Einwilligung

Demzufolge könne den unterschriebenen Verträgen auch kein Nachweis einer rechtmäßigen Einwilligung entnommen werden. Die Beweislast für das Vorliegen einer gültigen Einwilligung obliegt nach Art. 2 Abs. 2 DSGVO dem für die Verarbeitung Verantwortlichen.  Entscheidend sei, dass die Klausel von den Betroffenen tatsächlich gelesen und verstanden worden sei.

Da nach diesen Angaben die betroffenen Kunden das Kästchen, das diese Klausel betrifft, aber anscheinend nicht selbst angekreuzt haben, ist der bloße Umstand, dass dieses Kästchen angekreuzt wurde, nicht geeignet, eine positive Einwilligungserklärung dieser Kunden in die Sammlung und Aufbewahrung einer Kopie ihrer Personalausweise nachzuweisen. Wie der Generalanwalt in Nr. 45 seiner Schlussanträge ausgeführt hat, reicht nämlich der Umstand, dass diese Kunden die Verträge mit dem angekreuzten Kästchen unterzeichnet haben, für sich genommen nicht aus, um eine solche Einwilligung nachzuweisen, sofern keine Anhaltspunkte dafür vorliegen, dass diese Klausel tatsächlich gelesen und verstanden worden ist.

Vertragsschluss auch ohne Einwilligung in die Verarbeitung

Die Kunden konnten den Vertrag auch ohne Einwilligung in die Datenverarbeitung abschließen. Die fehlenden Informationen darüber stehen jedoch nach Auffassung des Gerichts sowohl der Freiwilligkeit als auch der Informiertheit einer wirksamen Einwilligung entgegen und können den Kunden irreführen.

Außerdem ergibt sich […] aus Art. 10 Buchst. c zweiter Gedankenstrich der Richtlinie 95/46 sowie Art. 13 Abs. 2 Buchst. b und c der Verordnung 2016/679 in Verbindung mit deren 42. Erwägungsgrund, dass zur Sicherstellung einer echten Wahlfreiheit für die betroffene Person die Vertragsbestimmungen diese nicht über die Möglichkeit irreführen dürfen, einen Vertrag abschließen zu können, auch wenn sie sich weigert, in die Verarbeitung ihrer Daten einzuwilligen. In Ermangelung derartiger Informationen kann die Einwilligung dieser Person in die Verarbeitung ihrer personenbezogenen Daten weder als freiwillig erteilt noch im Übrigen als in Kenntnis der Sachlage oder in informierter Weise erteilt angesehen werden.

Zusätzliche Anforderungen bei Verweigerung der Einwilligung

Zweifel äußerte das Gericht darüber hinaus an der Freiwilligkeit der abgegebenen Einwilligungen. Hat der Kunde seine Einwilligung nämlich aktiv verweigert, musste er schriftlich erklären, weder in die Sammlung noch in die Aufbewahrung der Kopie seines Ausweisdokuments einzuwilligen. Dieses Verfahren könne die freie Entscheidung der Kunden beeinträchtigen.

Im Übrigen zeigt sich […], dass die Freiwilligkeit dieser Einwilligung dadurch in Frage gestellt wird, dass Orange România für den Fall der Verweigerung dieser Einwilligung unter Abweichung von dem normalen, zum Abschluss des Vertrags führenden Verfahren verlangt hat, dass der betroffene Kunde schriftlich erklärt, weder in die Sammlung noch in die Aufbewahrung der Kopie seines Ausweisdokuments einzuwilligen. Wie die Kommission in der mündlichen Verhandlung ausgeführt hat, ist eine solche zusätzliche Anforderung nämlich geeignet, die freie Entscheidung, sich dieser Sammlung und Aufbewahrung zu widersetzen, ungebührlich zu beeinträchtigen, was ebenfalls vom vorlegenden Gericht zu prüfen ist.

Fazit

Das Urteil bestätigt die bisherige Rechtsprechung des EuGH und stellt keine Überraschung dar. Eine Einwilligung muss eindeutig, in informierter Weise und freiwillig erfolgen. Die Beweislast trifft den für die Datenverarbeitung Verantwortlichen. Bereits vorangekreuzte Checkboxen erfüllen diese Voraussetzungen nicht.

Marian Weyo/Shutterstock.com