EU berichtigt kurzfristig DSGVO: Folgen für die Praxis?

Nahezu jeder Händler steckt derzeit in der Umsetzung der DSGVO. Schließlich sind es nur noch rund drei Wochen. Nun sorgt eine Änderung durch den EU-Rat aber kurz vor der Deadline für große Verunsicherung. Müssen nun noch mehr Anpassungen erfolgen? 

386 Seiten lang – Aber was steht drin?

Die Seitenanzahl wirkt beängstigend. Das liegt aber in erster Linie daran, dass die Änderungen in alle europäischen Sprachen übersetzt sind. Die Änderungen für Deutschland werden auf lediglich 18 Seiten aufgeführt. Die überwiegende Anzahl der Änderungen betrifft sprachliche Korrekturen sowie grammatikalische Anpassungen. Dies ist, da die originäre DSGVO-Verordnung auf Englisch verfasst ist, aber keine Seltenheit. In den meisten Fällen werden so nur sprachliche Ungenauigkeiten nachgebessert. So auch in diesem Fall – wäre da nicht eine Anpassung, die für juristischen Zündstoff sorgen könnte.

Datenschutzfreundliche Voreinstellung erforderlich

Stein des Anstoßes ist die Änderung des Artitel 25 Absatz 2 Satz 1. Das ist der Artikel, der sich mit dem „Privacy by Default”-Grundsatz befasst. Danach müssen nach der DSGVO immer die datenschutzfreundlichen Voreinstellungen vorherrschen. Der Änderung fällt ein wichtiges Wort zum Opfer:

Anstatt:

„… die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung …"

muss es heißen:

„… die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung…”.

In der korrigierten Fassung entfällt nun das Wort „grundsätzlich”. Die deutsche Ausgabe der DSGVO ordnet nun also an, dass durch alle Voreinstellungen nur noch ausschließlich personenbezogene Daten erhoben werden dürfen, die für den Zweck auch erforderlich sind. Damit verschwindet eigentlich die Möglichkeit, auch Ausnahmen bei der Erhebung weiterer Daten zu machen. Daher stellt sich natürlich die Frage, ob überhaupt noch weitere Daten über technisch ausgestaltete Formulare wie Newsletter und Co. erhoben werden dürfen.

Anpassung der Formulare notwendig?

Die Reichweite des Verbotes wäre immens. Jegliche Angaben, die nicht erforderlich sind, wären zu entfernen. Dies beträfe auf den ersten Blick die zusätzlichen (freiwilligen) Angaben bei:

• Newsletter,
• Kontaktformular,
• Bestellformular,
• Und viele mehr…

Das hätte zur Folge, dass alle Bereiche, in denen technische Formulare genutzt werden, bereinigt werden müssten.

Dies würde für Händler einen riesigen zusätzlichen Aufwand bedeuten. Doch so weit wird es auch nach der Änderung der DSGVO-Formulierung nicht kommen. Es spricht nichts dafür, dass freiwillige Angaben, die jeder Kunden angeben kann oder nicht, gegen die Grundsätze der datenschutzfreundlichen Voreinstellung der DSGVO verstoßen – solange sie wirklich freiwillig sind. Auch ein Blick in die originale, englische Fassung stützt diese Vermutung, denn sie verwendet lediglich das Verb „shall” (deutsch: „sollte”). Demnach wird zwar eine Pflicht statuiert, von der aber in Ausnahmefälle abgewichen werden kann. Und an diesem Wortlaut hat sich nach wie vor nichts geändert. So lag und liegt kein absolutes Verbot vor, auch andere Daten zu erheben.

Freiwilligkeit muss vorliegen

Voraussetzung für die Erhebung von Daten, die nicht zur Erfüllung von vertraglichen Verpflichtungen notwendig sind, wird aber dennoch die absolut freie Entscheidung sein. Nur so kann man auch eine datenschutzfreundliche Voreinstellung sicherstellen. Händler sollten daher darauf achten, dass die Felder als freiwillig gekennzeichnet sind und die Nicht-Eintragung auch tatsächlich keine Auswirkungen auf die Nutzung hat.

Also keine Panik

Durch die Änderung zeigt sich, wie schnell es durch eine inhaltlich Anpassung zu Verwirrung und Unsicherheit kommen kann. Der EU-Rat beweist so kurz vor dem Starttermin auch kein wirklich gutes Timing in den Änderungen. In der Praxis wirkt es sich jedoch nicht aus, solange die Rechtsprechung nicht tatsächlich die genauen Kriterien festlegt. Händler sollten in diesem Fall daher nichts übereilen und die anderen tatsächlich notwendigen Änderungen wie Datenschutzerklärung, Verarbeitungsverzeichnis etc. umsetzen.