Die Allgemeine Datenschutzverordnung (DSGVO) hat die Art und Weise, wie Websites die Zustimmung der Nutzer zur Verarbeitung personenbezogener Daten einholen, stark beeinflusst.
Im Folgenden zeige ich Ihnen , wie Sie konforme DSGVO Einverständniserklärungen erstellen, warum es wichtig ist, eine solche zu haben, und wie Sie die Zustimmung der Nutzer einholen, aufzeichnen und verwalten.
Die Do's und Don'ts der DSGVO konformen Formulare
Um Ihnen dabei zu helfen, die Verpflichtungen von DSGVO schnell und effizient zu erfüllen, habe ich eine hilfreiche Liste mit den Geboten und Verboten erstellt:
- Verwenden Sie in Ihrem Einwilligungsformular eine klare, einfache Sprache, damit die Nutzer es verstehen.
- Geben Sie Ihren Nutzern die Möglichkeit, sich an- und abzumelden und ihre Meinung jederzeit zu ändern.
- Verlinken Sie neben Ihrer Einwilligungsanfrage auf eine DSGVO-konforme Datenschutzrichtlinie, damit die Nutzer Zugang zu allen notwendigen Informationen haben.
- Machen Sie die Einwilligung nicht zur Voraussetzung für die Inanspruchnahme eines Dienstes, wenn die Erhebung der Daten nicht wirklich notwendig ist.
- Machen Sie es den Nutzern nicht schwerer, Nein zu sagen, als Ja zu sagen, sonst geraten Sie in Konflikt mit der Verordnung.
- Verwenden Sie keine heimtückischen Umgehungslösungen, wie z. B. die Schaltfläche "Akzeptieren" deutlicher hervorzuheben als die Schaltfläche "Ablehnen", da dies nicht DSGVO -konform ist.
So erstellen Sie konforme DSGVO Einverständniserklärungen (mit Beispielen)
Wenn Ihr Unternehmen den Anforderungen der DSGVO unterliegt, können Sie die Einwilligung als Rechtsgrundlage für die Verarbeitung bestimmter personenbezogener Daten verwenden.
Wenn Sie sich dafür entscheiden, dass die Einwilligung die geeignete Rechtsgrundlage für Ihre Verarbeitungstätigkeit ist, müssen Sie bei der Einholung der Einwilligung von den Nutzern besondere Leitlinien beachten.
Laut DSGVO müssen Personen ihre Zustimmung durch eine Erklärung oder eine ausdrückliche Handlung erteilen und zustimmen:
- Unentgeltlich und auf freiwilliger Basis gegeben
- Spezifische
- Informiert
- Unzweideutig
Darüber hinaus muss der Einzelne das Recht haben, seine Einwilligung jederzeit zu widerrufen, so einfach, wie er sie gegeben hat.
Mit dieser rechtlichen Definition im Hinterkopf, lassen Sie uns eine DSGVO-konforme Einwilligungserklärung für Ihre Website oder App erstellen.
Zur Erinnerung: Die Einwilligung ist eine der sechs Rechtsgrundlagen, auf denen Unternehmen personenbezogene Daten unter DSGVO verarbeiten dürfen.
Machen Sie Ihren Antrag auf Zustimmung transparent
Setzen Sie diese drei Transparenzanforderungen in Ihren Einwilligungsformularen um:
Verwenden Sie in Ihrem Einwilligungsformular keine angekreuzten Kästchen
Verwenden Sie keine vorausgefüllten Kontrollkästchen, keine stillschweigende Zustimmung und keine Standard-Zustimmung, wenn Sie die Nutzer bitten, Ihre Zustimmung zu erteilen. Alle diese Techniken verstoßen gegen die DSGVO.
Bieten Sie stattdessen ein nicht angekreuztes Kästchen an, das die Nutzer aktiv anklicken müssen, um ihr Einverständnis zu erklären.
Nachfolgend finden Sie einen Vergleich, was man mit Kontrollkästchen machen kann und was nicht.
Wie das obige Beispiel des DSGVO -Formulars zeigt, müssen die Nutzer Ihnen aus freien Stücken die Erlaubnis erteilen, ihnen E-Mails zu senden und auf Ihr Angebot zuzugreifen, ohne sich für Ihren Newsletter anzumelden.
Bieten Sie mehrere Opt-In-Optionen an
Erwägen Sie die Implementierung einer doppelten Zustimmungsanfrage, wenn Sie Nutzer auffordern, sich in eine Mailingliste einzutragen.
Stellen Sie den Nutzern zunächst ein Online-Zustimmungsformular zur Verfügung, das sie manuell ausfüllen, um Ihre E-Mails zu abonnieren. Senden Sie dann eine Bestätigungs-E-Mail und bitten Sie die Nutzer, auf einen Link zu klicken, um ihre E-Mail-Adresse zu verifizieren und sie zu Ihrer Mailingliste hinzuzufügen.
Die Einholung einer doppelten Zustimmung auf diese Weise wird zwar nicht ausdrücklich von der DSGVO verlangt, ist aber eine bewährte Geschäftspraxis, die unter DSGVO üblich ist.
Wann brauchen Sie kein Kontrollkästchen in Ihrem Einwilligungsformular?
Unter DSGVO können Sie Kontrollkästchen verwenden, wenn Sie die Benutzer bitten, ihre Zustimmung zu mehreren Punkten in einem einzigen Formular zu geben. Sie müssen jedoch nicht unbedingt ein solches Kästchen verwenden, wenn der Grund für die Zustimmung unzweideutig ist.
Wenn Sie z. B. ein Popup-Fenster verwenden, um die Zustimmung zu einem Newsletter anzufordern, können Sie die Benutzer mit einer eindeutigen Formulierung und einer ausdrücklich gekennzeichneten Schaltfläche auffordern, ihre E-Mail-Adresse einzugeben, um eine gültige Zustimmung zu erhalten.
Im Folgenden finden Sie ein Beispiel für die richtige und die falsche Art und Weise, diese Art von Einwilligungsanfrage zu verfassen.
Zusätzliche Opt-In-Methode für E-Mails
Je nach den geltenden Gesetzen kann es Ihnen gestattet sein, zuvor erfasste Daten über eine Person zu verwenden, um ihr eine E-Mail zu senden, ohne ihre Zustimmung einzuholen.
Diese Praxis kann beispielsweise in den Vereinigten Staaten, der Europäischen Union, Kanada, Australien und dem Vereinigten Königreich erlaubt sein, sofern Sie die folgenden Bedingungen erfüllen:
- Die Person hat Ihnen ihre E-Mail-Adresse im Rahmen eines früheren Verkaufs auf Ihrer Website zur Verfügung gestellt
- Sie werden über einen Hinweis, eine Verkaufsseite oder eine Datenschutzrichtlinie ordnungsgemäß informiert.
- Die E-Mails sind werblicher Natur und beziehen sich auf Produkte oder Dienstleistungen, die dem ursprünglichen Kauf bei Ihnen ähnlich sind.
- Sie werben nur für Dienstleistungen und Produkte, die Ihnen gehören und nicht einem Dritten
Wenn die betreffende Person sich jedoch zuvor gegen den Erhalt Ihrer E-Mails entschieden hat, können Sie ihr auf diese Weise keine Werbeinhalte senden.
Außerdem müssen Sie jedes anwendbare Recht im Einzelnen prüfen, da die obige Liste weder erschöpfend noch allgemein anwendbar ist.
Getrennte Verwendung der Zustimmung von Anträgen für andere Rechtsgrundlagen
Die DSGVO verlangt von Ihnen, dass Sie Zustimmungsanfragen für unterschiedliche Zwecke trennen.
Mit anderen Worten: Sie können Ihre Zustimmung zu Ihren Rechtsgrundsätzen, z. B. Ihren Allgemeinen Geschäftsbedingungen, nicht mit der Anmeldung zu einem Newsletter verbinden.
Um die Anforderungen vonDSGVO vollständig zu erfüllen, sollten Sie sicherstellen, dass Ihre Einwilligungsanfragen erkennbar und für den Nutzer offensichtlich sind.
Im Folgenden finden Sie ein Beispiel dafür, wie Sie dies tun und wie Sie es nicht tun sollten.
Granulare Zustimmungsoptionen bereitstellen
Wenn Ihr Einwilligungsformular die Nutzer auffordert, mehreren Verarbeitungsvorgängen zuzustimmen, stellen Sie sicher, dass sie die Möglichkeit haben, jedem Punkt einzeln zuzustimmen.
Andernfalls entspricht Ihre Einwilligungserklärung nicht dem Standard DSGVO .
Nachstehend finden Sie ein Beispiel für diese Vorgehensweise.
Machen Sie den Widerruf der Zustimmung so einfach wie die Erteilung der Zustimmung
Die DSGVO schreibt vor, dass Sie den Nutzern die Möglichkeit geben müssen, ihre Einwilligung jederzeit zu widerrufen oder ihre Meinung zu ändern, ohne dass dies Konsequenzen hat. Dies muss für den Nutzer so einfach sein wie die Erteilung der Zustimmung.
Sie müssen sie darüber informieren, wie sie ihre Zustimmung zurückziehen können, z. B. indem Sie am Ende Ihrer Marketing- oder Werbe-E-Mails eine Opt-out-Option hinzufügen.
Nachfolgend finden Sie ein Beispiel dafür, wie Sie dies unter DSGVO erfolgreich durchführen können.
Führen Sie ein Protokoll über die Zustimmung
Neben der Einholung der Einwilligung verlangt die DSGVO auch, dass Sie ein Protokoll über die von Ihren Nutzern getroffenen Entscheidungen führen.
Um einen angemessenen Nachweis der Zustimmung zu erbringen, müssen Sie die folgenden Angaben für jeden Ihrer Nutzer aufbewahren:
- Wenn du ihre Zustimmung hast
- Wie Sie es erhalten haben
- Was Sie den Nutzern zum Zeitpunkt der Einholung der Zustimmung vorgelegt haben
Aufzeichnung und Verwaltung von Einwilligungen
Die Opt-in-Maßnahme, der Wortlaut und die Platzierung Ihrer DSGVO-konformen Zustimmungsaufforderung ist nur die halbe Miete - Sie müssen auch sicherstellen, dass Sie die Entscheidungen Ihrer Nutzer aufzeichnen.
Gemäß Artikel 7, Absatz 1 der Verordnung:
"Beruht die Verarbeitung auf einer Einwilligung, muss der für die Verarbeitung Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat."
Um Ihnen zu helfen, diese gesetzliche Anforderung zu erfüllen, erkläre ich Ihnen in den folgenden Abschnitten, welche Informationen Sie protokollieren müssen und wie Sie Ihren Nutzern die Möglichkeit geben können, ihre Zustimmung zu verwalten.
Welche Informationen sollten aufgezeichnet werden?
Die Aufzeichnungen, die Sie über die Einwilligungsentscheidungen Ihrer Nutzer führen, sollten so spezifisch und detailliert sein wie die Einwilligung selbst.
Um die Bestimmungen von DSGVO vollständig zu erfüllen, sollten Sie die folgenden Informationen aufbewahren:
- Wer zugestimmt oder sich abgemeldet hat: Name, Benutzer-ID, E-Mail-Adresse oder andere Identifikatoren, einschließlich IP-Adresse
- Wann sie zugestimmt oder sich abgemeldet haben: Zeitstempel, wann der Nutzer zugestimmt hat
- Wie sie zugestimmt oder ihre Zustimmung verweigert haben: Das spezifische Formular oder der Ort auf der Website, an dem der Nutzer zugestimmt hat, z. B. ein Pop-up oder ein Anmeldeformular
- Was sie zugestimmt oder abgelehnt haben: Womit genau sie einverstanden waren, einschließlich wöchentlicher Newsletter oder Angebote Dritter
- ob und wann sie ihre Zustimmung zurückgezogen haben: Führen Sie ein Protokoll, wenn ein Nutzer seine Einwilligungspräferenz ändert.
Meine bevorzugte Methode zur Protokollierung der Einwilligungsentscheidungen der Nutzer ist eine automatisierte Lösung, wie Termly's Consent Management Platform (CMP).
Es speichert eine Aufzeichnung der Entscheidungen Ihrer Nutzer, auf die Sie in Ihrem Termly Dashboard zugreifen können.
Wie man den Benutzern die Verwaltung ihrer Zustimmung ermöglicht
Sie müssen Ihren Nutzern auch die Möglichkeit geben, ihre Einwilligung zu verwalten, denn Artikel 7, Abschnitt 3 der DSGVO gewährt ihnen das Recht, ihre Meinung jederzeit zu ändern.
Sie besagt auch, dass die Rücknahme der Zustimmung genauso einfach sein muss wie die Erteilung der Zustimmung.
In ähnlicher Weise gibt Kapitel 3, Artikel 15 - 21 der DSGVO den Verbrauchern die folgenden Rechte über ihre Daten:
- Zugang
- Korrigieren oder ändern
- Übertragung
- Löschen
- Widerspruch gegen die Verarbeitung ihrer Daten für bestimmte Zwecke
Um diese Anforderungen zu erfüllen, sollten Sie auf Ihrer Website ein Zentrum für Einwilligungspräferenzen mit Datenschutzkontrollen einrichten, die es Ihren Nutzern ermöglichen, ihre Auswahl jederzeit zu aktualisieren.
So kann beispielsweise das cookie banner auf der Website der griechischen Datenschutzbehörde jederzeit in der Fußzeile wieder aktiviert werden.
Zusätzlich empfehle ich die Veröffentlichung einesDSAR-Formulars (Data Subject Access Request). Termly bietet ein DSAR-Formular als Teil unserer LösungDSGVO .
Um sicherzustellen, dass Ihre Nutzer immer Zugriff auf das Einverständniserklärungszentrum und das DSAR-Formular haben, verlinken Sie beide an statischen Stellen Ihrer Website, z. B. in der Fußzeile oder in einem Datenschutzcenter, falls Sie eines verwenden.
Zusammenfassung
Wenn Sie eine Beschwerde DSGVO Einverständniserklärung für Ihre Website erstellen, müssen die Nutzer eine echte Wahlmöglichkeit haben, wie Sie ihre personenbezogenen Daten erfassen und verarbeiten.
Denken Sie daran, bei jeder Datenerfassung die Zustimmung des Nutzers einzuholen, und halten Sie die Entscheidung jedes Nutzers fest.
Vergewissern Sie sich, dass Ihre Cookie- und Datenschutzrichtlinien auf dem neuesten Stand sind, und fügen Sie bei allen Einwilligungsanfragen, die Sie stellen, einen direkten Link zu diesen Richtlinien ein.
Mehr über die Autorin
Geschrieben von Teodor Stanciu, CIPP/E, CIPM
Teo ist ein Datenschutzspezialist und erfahrener Datenschutzbeauftragter (DSB), der Unternehmen bei der Erfüllung ihrer Datenschutzverpflichtungen mit Leidenschaft unterstützt. Er verfügt über mehr als sieben Jahre Erfahrung als Datenschutzbeauftragter für eine internationale Organisation, die in 50 Ländern tätig ist und ihren Sitz in Brüssel, Belgien, hat. Teo ist ein Certified Information Privacy Professional/Europe (CIPP/E) und Certified Information Privacy Manager (CIPM) der International Association of Privacy Professionals (IAPP).
Mehr über die Autorin
