Das Koppelungsverbot der DSGVO

Jeder der mal auf der Suche nach einer Vorlage für ein bestimmtes Thema war, kennt dieses Phänomen: Man glaubt das richtige Whitepaper gefunden zu haben und stellt dann aber fest, dass ein Download nur möglich ist, wenn in den Versand eines Newsletters (inkl. Double-Opt-In) eingewilligt wird. 

Aber ist dieses Vorgehen überhaupt mit den Grundsätzen der EU-Datenschutz-Grundverordnung (DSGVO) vereinbar? Also darf eine Vertragsleistung an eine Einwilligung zur Datenverarbeitung gekoppelt werden, die für die Erfüllung des Vertrages nicht erforderlich ist?  

Rechtmäßigkeit 

Die EU-Datenschutz-Grundverordnung ist gem. Art. 6 Abs. 1 DSGVO ein Verbotsgesetz mit Erlaubnisvorbehalt. Das heißt, dass die Verarbeitung personenbezogener Daten verboten ist, außer ein Gesetz erlaubt die Verarbeitung oder der betroffene hat in die Verarbeitung seiner personenbezogenen Daten eingewilligt. Soll eine Verarbeitung aber auf eine Einwilligung des Betroffenen gestützt werden, so sind die besonderen Voraussetzungen des Art. 7 DSGVO einzuhalten; andernfalls liegt ein Verstoß gegen den Grundsatz der Rechtmäßigkeit einer Datenverarbeitung gem. Art. 5 Abs. 1 DSGVO vor und es drohen empfindliche Bußgelder.  

Die Einwilligung durch den Betroffenen muss gem. Art. 7 DSGVO dabei nicht nur widerruflich sein und schriftlich erfolgen, 7 DSGVO dabei nicht nur widerruflich sein und schriftlich erfolgen, sie muss auch freiwillig sein. Ist aber die Einwilligung zum Erhalt eines Newsletters erforderlich, um z.B. ein Whitepaper herunterladen zu können, muss die Freiwilligkeit gem. Art 7 Abs. 4 DSGVO grundsätzlich verneint werden.  

Striktes Kopplungsverbot oder nur eine restriktive Prüfpflicht?  

Denn in Art 7 Abs. 4 DSGVO steht, dass zur Bewertung der Freiwilligkeit „dem Umstand in größtmöglichem Umfang Rechnung getragen werden muss, ob die Erfüllung eines Vertrages einschließlich der Erbringung einer Dienstleistung von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrages nicht erforderlich ist“. 

Auch wenn das Gesetz etwas verklausuliert formuliert ist. Das Fehlen eines klaren, normierten Verbotes fällt auf. Stattdessen lässt sich aus den Begriffen „Rechnung tragen“ zunächst eher eine besonders strenge Pflicht zur Prüfung ableiten. Erst ein Blick in Erwägungsgrundes 42 Satz 2 DSGVO wird der Regelungsinhalt deutlicher, denn dort hat der Verordnungsgeber seine Motivation und Ziele darlegt: 

„Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“ 

Demnach scheitert eine wirksame Einwilligung an der Freiwilligkeit, sobald zwei verschiedene, unabhängige Prozesse gleichzeitig durch diese abgedeckt werden sollen oder eine eigentlich nicht einwilligungspflichtige Leistung mit einer eben solchen verknüpft wird. Es lässt sich aus dem Erwägungsgrund also ein grundsätzliches Verbot der Kopplung ableiten, allerdings bedingt sich aus dem angebrachten Einzelfall gleichzeitig eine Würdigung von Privatautonomie und Vertragsfreiheit. Als Faustregel lässt sich daher festhalten: 

Die Kopplung zweier unterschiedlicher Datenverarbeitungen unter einer Einwilligung ist im Regelfall nicht zulässig. Jedoch sind solche Klauseln, die auch im Rahmen Einzelvertraglicher Abreden gestattet sind, wohl nicht hiervon umfasst.    

Zweck der Vorschrift 

Hintergrund des Kopplungsverbotes ist es, das Ausnutzen der stärkeren Position einer Partei, zu verhindern. Denn besteht ein Machtgefälle zwischen den beiden Parteien, so könnte es dem Bevorteilten einfacher fallen, durch die „abgepresste“ Einwilligung weitreichendere Befugnisse als unbedingt notwendig durchzusetzen. So etwa, wenn ein Nutzer zum Download eines Whitepapers zwingend der Weiterverwendung seiner Daten zu Marketing- und Werbezwecken zustimmen muss.  

Beispiele aus der Praxis 

Cookie Banner mittels derer eine Einwilligung von Internetnutzern eingeholt werden soll, müssen – um die Freiwilligkeit zu wahren – stets die Möglichkeit einer echten Wahl haben: Es wäre somit unzulässig, den Gebrauch der Website an die Einwilligung in Analyse- und Marketingcookies zu koppeln; auch wenn nur technisch-notwendige-Cookies ausgewählt werden, müssen dem Nutzer Einstellungsmöglichkeiten gewährt werden.  

Ebenso ist das Kopplungsverbot beim Anbieten von Content zum Download relevant, wie etwa beim Download von Whitepapern oder Anleitungen. Die Anmeldung zu einem Newsletter muss gesondert erfolgen und darf nicht an diesen Download gekoppelt sein. 

Möglichkeiten der Ausgestaltung 

Gewahrt bleibt das Kopplungsverbot, sobald der Nutzer eine echte Wahl zwischen den verschiedenen Datenverarbeitungen hat. Anknüpfend an das Beispiel der Cookie-Banner ist es zum Beispiel kein Verstoß gegen Art. 7 Abs. 4 DSGVO, wenn der Nutzer nur zwischen einer kostenpflichtigen Nutzung der Internetseite (Bezahlabonnement) oder der Einwilligung in alle (Werbe)cookies wählen kann. Denn in diesem Anwendungsbeispiel stehen dem Nutzer zwei Optionen zur Verfügung. Die Freiwilligkeit wird dadurch gewahrt, dass sich der Nutzer immer noch gegen eine Verwendung der Webseite entscheiden kann. 

Fazit 

Wie dieser Beitrag zeigt ist die Rechtslage aber keineswegs immer eindeutig. Sollten Sie Datenverarbeitungen planen oder vornehmen, die auf die Einwilligung gestützt werden sollen, können Sie uns jederzeit um Rat fragen.