Ja zu welchem Text?

Artikel 7 Absatz 1 DSGVO ist ein kurzer Satz: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Die Beweislast liegt beim Verantwortlichen, so steht es auch in den Leitlinien 05/2020 des Europäischen Datenschutzausschusses (Rn. 104). Nicht die Person muss zeigen, dass sie nicht eingewilligt hat.

In den meisten Systemen besteht dieser Nachweis aus zwei Feldern: einem Häkchen und einem Zeitstempel. Newsletter ja, seit dem 14. März. Das beweist, dass irgendwann ein Ja gespeichert wurde. Es beweist nicht, wozu, zu welchem Wortlaut, auf welchem Weg und ob die Person vorher über ihr Widerrufsrecht informiert wurde, wie Artikel 7 Absatz 3 es verlangt.

Was der Datenschutzausschuss unter Nachweis versteht

Die DSGVO schreibt nicht vor, wie der Nachweis zu führen ist. Die Leitlinien werden trotzdem konkret (Rn. 108): Nachweisbar sein müssen, wie die Einwilligung eingeholt wurde, wann, und welche Information die Person zu diesem Zeitpunkt erhalten hat. Online nennt der Ausschuss als Beispiel die Angaben zur Sitzung, die Dokumentation des damaligen Ablaufs und eine Kopie der Information, die der Person angezeigt wurde. Der Satz danach ist der wichtigste: Es genüge nicht, lediglich auf eine korrekte Konfiguration der Website zu verweisen.

Gleichzeitig soll der Nachweis nicht selbst zur Datensammlung werden (Rn. 106). Gebraucht wird genug, um die Verbindung zur Verarbeitung zu zeigen, und nicht mehr. Und er gilt, solange die Verarbeitung läuft; danach nur so lange, wie er für eine rechtliche Verpflichtung oder für Rechtsansprüche nötig ist (Rn. 107).

Der Text ändert sich, das Häkchen nicht

Einwilligungstexte werden überarbeitet. Ein Zweck kommt hinzu, ein Dienstleister wechselt, die Rechtsabteilung formuliert neu. Das Häkchen in der Datenbank bleibt dabei stehen, als hätte die Person dem neuen Wortlaut zugestimmt.

Die Leitlinien sind hier eindeutig (Rn. 110): Ändert sich die Verarbeitung erheblich, ist die ursprüngliche Einwilligung nicht mehr gültig, und es muss neu eingeholt werden. Das setzt voraus, dass man für jede einzelne Einwilligung weiß, auf welche Fassung des Textes sie sich bezieht. Wer das nicht weiß, kann auch nicht sagen, wen er neu fragen muss. Er kann nur alle fragen oder niemanden.

Wie isidaten das abbildet

Das Modul Einwilligungsmanagement behandelt den Einwilligungstext als Dokument mit Versionen. Eine Vorlage bündelt die Zwecke, jeder Zweck hängt an einer Verarbeitungstätigkeit im Verzeichnis. Die Freigabe erzeugt eine unveränderliche Version mit Schnappschuss des vollständigen Wortlauts und Prüfsumme, auf Wunsch im Vier-Augen-Prinzip. Jede Erklärung verweist auf genau diese Version, und festgehalten wird die Wahl je Zweck, auch die Ablehnung.

Die Nachweis-Ereignisse einer Person sind miteinander verkettet: Jedes Ereignis trägt einen Hash über seine Angaben und den seines Vorgängers. Wer nachträglich in der Datenbank ein Ereignis ändert, löscht oder einschiebt, bricht die Kette, und die Prüfung zeigt die Stelle. Neben der Einholung per Formular lassen sich Papier- und mündliche Erklärungen mit Nachweisvermerk erfassen, das Beispiel aus Rn. 109 der Leitlinien ist genau so ein Fall.

Wird eine Vorlage als wesentliche Änderung freigegeben, markiert das Modul alle bestehenden Einwilligungen dazu als erneuerungsbedürftig. Eine redaktionelle Korrektur tut das nicht. Beim Double-Opt-in entsteht die Einwilligung erst mit dem Klick auf den Bestätigungslink; wurde die Vorlage in der Zwischenzeit wesentlich geändert, gilt die Bestätigung nicht für den neuen Wortlaut.

Widerrufen lässt sich über das Präferenz-Center per Link, für Beschäftigte unter „Meine Einwilligungen“ und aus einer Betroffenenanfrage heraus. Der Widerruf verweist auf die Version, unter der erteilt wurde, und die verantwortliche Person der Vorlage erfährt davon, denn die Verarbeitung für diesen Zweck muss enden. Umgekehrt zeigt das Modul Verarbeitungstätigkeiten, die im Verzeichnis Einwilligung als Rechtsgrundlage nennen, zu denen aber keine aktive Vorlage existiert. Für Website-Vorlagen gleicht es mit dem Cookie-Scan ab, ob jede einwilligungspflichtige Kategorie, die die Seite tatsächlich setzt, einen Zweck hat.

Die Prüffrage

Nehmen Sie eine beliebige Adresse aus Ihrem Newsletter-Verteiler. Können Sie den Wortlaut vorlegen, den diese Person gesehen hat, als sie Ja gesagt hat?

Wenn die Antwort ein Screenshot des aktuellen Formulars ist, haben Sie die Konfiguration nachgewiesen, nicht die Einwilligung.

Quellen

Verordnung (EU) 2016/679 (DSGVO), Artikel 7. EDSA, Leitlinien 05/2020 zur Einwilligung, Rn. 104 bis 111. DSK, Kurzpapier Nr. 20: Einwilligung nach der DS-GVO.