erste Entscheidung zur Einwilligung in AGB nach DSGVO vom OGH

 

 In einem Verfahren des VKI auf Unterlassung der Verwendung bestimmter Klauseln in AGB war auch eine Einwilligung für Marketingzwecke Thema:

 

 

 

2. Der Kunde stimmt zu, dass die von ihm angegebenen Daten (Name, Geburtsdatum, Adresse, Telefonnummer, EMail-Adresse, Gerätenummer (Client ID) des TVEmpfangsgeräts, Internet ID) von s***** verwendet werden, um dem Kunden Informationen über das Produktportfolio von s*****TV (Aktionen, neue Angebote, neue Programme, Programmhighlights), s***** Internet, TV‑Empfangsgeräte, terrestrische Empfangsmöglichkeiten, per Post, E-Mail, Telefon, SMS, Fax oder über soziale Netzwerke zukommen zu lassen sowie zum Datenabgleich gemäß Rundfunkgebührengesetz. Des Weiteren stimmt der Kunde zu, dass die von ihm angegebenen Daten zu den oben angeführten Zwecken an die verbundenen Unternehmen der s***** (O***** GmbH & Co KG, Ö***** GmbH & CO KG, Ö***** Kundenservice GmbH & Co KG, G***** GmbH) übermittelt werden. Diese Zustimmung kann der Kunde jederzeit schriftlich mit Brief oder E-Mail an s***** widerrufen.

 

3. Der Kunde stimmt weiters zu, dass die von ihm angegebenen Daten (Name, Geburtsdatum, Adresse, Telefonnummer, E-Mail-Adresse, Gerätenummer (Client ID) des TV-Empfangsgeräts, Internet ID) von s***** verwendet werden, um dem Kunden Informationen über Angebote (Produkte und Leistungen) der Kooperationspartner von s***** per Post, E-Mail, Telefon, SMS, Fax oder über soziale Netzwerke zukommen zu lassen. Kooperationspartner von s***** sind Unternehmen mit Sitz in Österreich, mit welchen s***** bei der Vermarktung der Angebote (Produkte und Leistungen) von s***** zusammenarbeitet und/oder welche ergänzende Leistungen zu den Angeboten von s***** anbietet. Kooperationspartner sind F***** GmbH, O***** GmbH & Co KG, Ö***** GmbH & Co KG, Ö***** Kundenservice GmbH & Co KG und G***** GmbH.Firmenbuchnummer *****. Diese Zustimmung kann der Kunde jederzeit schriftlich mit Brief oder E-Mail an s***** widerrufen.“

 

 

 

Nach Ansicht des OGH verstößt diese Klausel gegen das Kopplungsverbot der DSGVO und führt dazu aus (Hervorhebungen durch den Verfasser):

 

 

 

4.2.2. Die Frage des „Koppelungsverbotes“, also ob der Vertragsabschluss von einer Zustimmung zu einer (dafür nicht erforderlichen) Datenverarbeitung abhängig gemacht werden kann, wurde in der höchstgerichtlichen Judikatur hingegen noch nicht behandelt. Anders als in Deutschland (§ 28 Abs 3b BDSG, dazu Revision S 7f) bestand in Österreich nach altem Datenschutzrecht auch keine diesbezügliche ausdrückliche Bestimmung.

 

4.2.3. In Frage steht dabei, ob eine derartige Einwilligung „ohne Zwang“ bzw „freiwillig“ gegeben wird, wenn sie Voraussetzung für den Abschluss eines Vertrags ist, für dessen Durchführung sie aber nicht erforderlich wäre. Die Revisionswerberin steht auf dem Standpunkt, dass dies deshalb in ihrem Fall so sei, weil der Verbraucher nicht auf einen Vertragsschluss mit ihr angewiesen sei (dies würde im Ergebnis der alten deutschen Rechtslage entsprechen). […]

 

4.2.4. Seit 25. 5. 2018 ist die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) anzuwenden (Art 99 Abs 2 DSGVO). […]

 

4.2.5. In einem solchen Fall hat eine Parallelprüfung nach altem und neuen Recht zu erfolgen. Ein Verbot ist nur möglich, wenn das beanstandete Verhalten auch nach neuer Rechtslage unzulässig ist (sonst Wegfall der Wiederholungsgefahr). […] Diese Rechtsprechung zum UWG wurde auf Verbandsklagen zur AGB-Kontrolle übertragen (RIS-Justiz RS0123158 [T1, T2, T5, T7, T8]).

 

4.3.1. Sowohl nach altem als auch nach neuem Recht besteht eine Möglichkeit zur Rechtfertigung der Datenverarbeitung darin, dass der Betroffene dieser zustimmt bzw in diese einwilligt (§ 7 iVm § 8 Abs 1 Z 2 DSG 2000; Art 6 Abs 1 lit a DSGVO).

 

4.3.2. § 4 Z 14 DSG 2000 definiert die „Zustimmung“ als „die gültige, insbesondere ohne Zwang abgegebene Willenserklärung des Betroffenen, daß er in Kenntnis der Sachlage für den konkreten Fall in die Verwendung seiner Daten einwilligt“. […]

 

4.3.3. Art 4 Z 11 DSGVO definiert die „Einwilligung“ der betroffenen Person nunmehr als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

 

4.4.1. Während diese Grundlagen also im Wesentlichen unverändert blieben (setzt man „ohne Zwang“ mit „freiwillig“ gleich), so enthält die DSGVO nunmehr zusätzliche Regelungen zur Freiwilligkeit der Einwilligung in Artikel 7 Abs 4:

 

„Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“

 

4.4.2. Dazu erläutert der Erwägungsgrund 43: „... Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“

 

Während also nach dem Verordnungstext dem Umstand der Koppelung bei der Beurteilung der Freiwilligkeit größtmöglich Rechnung zu tragen ist, spricht der Erwägungsgrund eindeutig für ein unbedingtes Verbot der Koppelung.

 

4.4.3. Die Stellungnahmen in der Literatur zur Frage, ob nun ein unbedingtes Koppelungsverbot besteht (oder ob etwa – im Vergleich mit altem deutschen Recht: weiterhin – auf die Monopolstellung des Vertragspartners abzustellen ist), sind nicht immer eindeutig. […]

 

4.4.4.  Das Spannungsverhältnis zwischen dem Text der Verordnung und dem Erwägungsgrund 43 ist offensichtlich dahin aufzulösen, dass an die Beurteilung der „Freiwilligkeit“ der Einwilligung strenge Anforderungen zu stellen sind. Bei der Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss ist grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen (vgl Ehmann/Selmayr/Heckmann/Paschke , DS‑GVO Rz 52 ff). Solche Umstände wurden im vorliegenden Fall jedoch nicht vorgebracht.

 

4.4.5. Zur Befassung des EuGH bestand kein Anlass, weil sich das vorstehende Ergebnis bereits aus dem Wortlaut der DSGVO und dem zitierten Erwägungsgrund ergibt. Auf konkrete Umstände, aus denen sich im Einzelfall ausnahmsweise eine Zulässigkeit der Koppelung ergeben könnte, hat sich die Beklagte nicht berufen, sodass im vorliegenden Fall auch kein Raum für die Klärung der Frage besteht, in welchen Fällen ausnahmsweise trotz des grundsätzlichen Verbots eine derartige Koppelung zulässig sein kann.

 

4.4.6.  Damit sind die Klauseln 2 und 3 aber nach neuem Recht unzulässig, weil sie gegen Art 6 Abs 1 lit a iVm Art 4 Z 11 iVm Art 7 Abs 4 DSGVO verstoßen. Zum gleichen Ergebnis führte die Sichtweise, dass diese Regelungen intransparent sind, weil sie keine wirksame Einwilligung herstellen können.

 

4.5.1. Die Argumentation des Klägers stützt sich im Wesentlichen auf eine Empfehlung der Datenschutzkommission vom 13. 7. 2012, K212.766/0010-DSK/2012, in der diese ausspricht, die Unmöglichkeit, einen Vertrag abzuschließen, ohne gleichzeitig die Zustimmungserklärung abzugeben, sei ihrer Ansicht nach „mit dem Erfordernis der Freiwilligkeit iSd § 4 Z 14 DSG 2000 und § 8 Abs 1 Z 2 DSG 2000 nicht vereinbar“. Als relevant werde angesehen, dass die Klausel nicht in synallagmatischem Zusammenhang mit der Leistung des Vertragspartners stehe. Zitiert wird in diesem Zusammenhang noch ein Rundschreiben des BKA aus 1985 (allerdings noch zum alten DSG [1978], welches im Gegensatz zum DSG 2000 eine ausdrückliche schriftliche Zustimmung forderte), wonach eine Zustimmung in AGB nicht ausreiche und eine gesonderte Unterzeichnung auf einem Formular erforderlich sei. Weiters die Stellungnahme 15/2011 der Artikel‑29‑Datenschutzgruppe (WP 187) „zur Definition von Einwilligung“, welche zur Koppelungsproblematik jedoch nichts Konkretes enthält, und zu Frage des Zwangs insofern nur allgemein ausführt „Eine Einwilligung kann nur dann gültig sein, wenn die betroffene Person eine tatsächliche Wahlmöglichkeit hat und kein Risiko einer Täuschung, Einschüchterung, Nötigung oder beträchtlicher negativen Folgen besteht, wenn sie die Einwilligung nicht erteilt“(S 15).

 

4.5.2. In der Empfehlung der Datenschutzbehörde vom 22. 5. 2017, DSB‑D216-396/0003‑DSB/2017 wird die Unzulässigkeit einer „derartigen Einbindung datenschutzrechtlicher Zustimmungserklärungen in AGB“ als ständige Rechtsprechung der Datenschutz-behörde/Datenschutzkommission bezeichnet.

 

4.5.3. Die Literatur hat sich dieser Auffassung angeschlossen (Thiele, Rechtssichere Zustimmungs-erklärungen in Online AGB – Eine Empfehlung der DSK, ZIR 2013, 16; Kastelitz in Knyrim, Datenschutz-Grundverordnung [2016] 110 [FN 70]). Auch Knyrim (Datenschutzrecht [2015] 190 ff) folgt dieser Auffassung, weist jedoch darauf hin, die Zulässigkeit könne mangels Judikatur nicht abschließend beurteilt werden. Demgegenüber vertritt Jahnel (Handbuch Datenschutzrecht [2010] 3/132), die Anforderungen an die Einwilligungsfreiheit sollten nicht überspannt werden, da sonst eine Zustimmung in vielen Fällen, etwa im Rahmen von Bank-AGB, deren Annahme Voraussetzung sind, um ein Konto zu erhalten, von Vornherein gar nicht in Betracht käme.

 

4.5.4. Der erkennende Senat schließt sich der herrschenden Auffassung an. Auch nach der alten Rechtslage ergab sich aus teleologischen Erwägungen, dass an die „Freiwilligkeit“ einer Einwilligung hohe Anforderungen zu stellen sind. Diese Anforderungen sind, wenn der Vertragsschluss offensichtlich mit der Abgabe einer derartigen Zustimmung gekoppelt wird, nicht erfüllt.

 

 

 

Fazit:

 

Eine Einwilligung, die in AGB oder in sonstigen Dokumenten mit einem Vertragsabschluss gleichzeitig erteilt wird, gilt als „gekoppelt“ und damit ungültig.

 

Die Datenschutzbehörde ging vor Kurzem in einer Entscheidung auch davon aus, dass eine vorformulierte Einwilligung in einem längeren Dokument, das auch noch andere Angelegenheiten zwischen dem Betroffenen und dem Verantwortlichen regelt, „intransparent“ sein kann, und verweist dazu auf Art 7 Abs 2 DSGVO, der eine Einwilligung

• in verständlicher und leicht zugänglichen Form und einer klaren und einfachen Sprache sowie
• von anderen Sachverhalten getrennt, sofern diese schriftlich ist, fordert.