Thought Leadership
Eine Einwilligung zur Erfassung von Kundendaten, die auf die bisherige Weise erteilt und genutzt wurde, gilt nicht mehr. Wie aber sieht eine gesetzeskonforme Einwilligungserklärung aus?
Jeder von uns hat schon einmal Häkchen bei Optionen gesetzt, eine SMS zur Bestätigung geschickt und Formulare mit persönlichen Daten ausgefüllt, um verlockende neue Services, Apps oder anderes freizuschalten. Das Problem dabei ist, dass wir keine Kontrolle darüber haben, was mit diesen Informationen geschieht, und nichts tun können, wenn wir Bedenken haben. Bisher war diese Art der Zustimmung eine einwandfreie, unternehmensfreundliche Art, wie sich Organisationen jede beliebige Verarbeitung persönlicher Daten legitimieren lassen konnten.
Diese Tage sind nun vorbei. Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union hat die Spielregeln dafür verändert, wie Daten genutzt und geschützt werden. Sie gibt den Bürgern das Recht, die Eigentümerschaft über ihre Anmeldedaten zu übernehmen, und zwingt die Unternehmen dazu, mit höherer digitaler Verantwortung zu handeln.
Mit den neuen Regelungen sind Unternehmen verpflichtet, mindestens eine gesetzliche Grundlage für jede Form der Datenverarbeitung zu nennen. Die DSGVO definiert „Einwilligung“ als eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“
Einwilligung zur Erfassung von Kundendaten
Eine Einwilligung zur Erfassung von Kundendaten, die auf die bisherige Weise erteilt und genutzt wurde, gilt nicht mehr.
Die Daten von Bürgern dürfen nur noch genutzt werden, wenn diese eine realistische Wahl hatten und jederzeit in der Lage sind, die Einwilligung zurückzuziehen. Das bedeutet, dass Unternehmen die operativen und technischen Möglichkeiten haben müssen, sofort die Verarbeitung der Daten zu unterbrechen, die Daten zu löschen oder sie zu exportieren und dem Kunden zur Verfügung zu stellen, wenn dieser das wünscht. Andernfalls droht eine teure Strafe auf Grundlage der DSGVO. Von nun an muss jede Einwilligung explizit, offensichtlich und auf nutzerfreundliche Weise angefordert werden. Unternehmen müssen den Verwendungszweck und die Vorgehensweise komplett transparent offenlegen und dem Nutzer einen vollständigen Überblick über seine Rechte geben.
Die Haltung der DSGVO zur Einwilligung wird eine tiefgreifende Auswirkung auf eine Vielzahl von Branchen haben. Stellen Sie sich zum Beispiel ein E-Commerce-Unternehmen vor, das es bisher gewohnt war, Kundendaten für verschiedenste Verwendungszwecke zu erheben. Ab dem 25. Mai 2018 muss das Unternehmen alle unterschiedlichen Verwendungszwecke nennen, für die es persönliche Daten verarbeitet. Es muss außerdem die gesetzliche Grundlage für jeden dieser Verwendungszwecke korrekt dokumentieren. Darüber hinaus sind weitere damit verbundene Aktionen notwendig: So muss das Unternehmen den Kunden darüber informieren, dass er das Recht hat, seine Einwilligung zurückzuziehen; und es muss sicherstellen, dass seine Datenschutzrichtlinien eindeutig und verständlich formuliert und den Kunden zugänglich sind.
Anforderungen an Transparenz
Diese radikalen gesetzlichen Veränderungen haben dazu geführt, dass mindestens eine große Werbefirma ihren Hauptsitz aus Europa abgezogen hat, da sie zu sehr darauf vertraute, Daten mit den bisherigen Einwilligungen verarbeiten zu dürfen. Andere Unternehmen versuchen gerade verzweifelt, für Ordnung zu sorgen. Vor kurzem veröffentlichte der europäische Ableger des Interactive Advertising Bureau (IAB) den Entwurf einer technischen Spezifikation seines „GDPR Transparency & Consent Framework“ als Open Source. Das Ziel ist es, Publisher, Technologieanbieter, Agenturen und Anzeigenkunden dabei zu unterstützen, die Anforderungen an Transparenz und Wahlmöglichkeiten der DSGVO zu erfüllen.
Unsere persönlichen Daten sind nun tatsächlich unser exklusives Eigentum. In Zukunft müssen Organisationen als verantwortungsbewusste Interessenwahrer unserer Daten agieren, unsere Wünsche respektieren und zu jeder Zeit Transparenz herstellen. Sie müssen sich für die gesetzliche Grundlage entscheiden, die am besten der Art ihrer Beziehung zu den Nutzern und dem expliziten Zweck ihrer Datenverarbeitungsabsicht entspricht. Falls sie Schwierigkeiten haben, die Einwilligung der Nutzer zu erhalten, liegt das wahrscheinlich daran, dass sie nicht die bestmögliche und am besten den gesetzlichen Grundlagen entsprechende Option gewählt haben.
Einwilligung als Grundlage für innovative Geschäftspraktiken
Die Einwilligung ist selbstverständlich nach wie vor notwendig und kann eine praktikable Grundlage für rasche, innovative Geschäftspraktiken sein. Sie erfordert allerdings höhere Sorgfalt und eine präzise Formulierung. Sie muss auf lange Sicht auch kein Hindernis auf dem Weg zum kommerziellen Erfolg sein. Transparenz und Best-Practice-Methoden schaffen Vertrauen, ermöglichen robustere Kundenbeziehungen und erhöhen die Offenheit der Kunden für neue innovative Dienstleistungen.
Die DSGVO ist gerade sehr präsent in der öffentlichen Wahrnehmung. Es ist zu erwarten, dass schon bald Unternehmen, die die Regelungen nicht einhalten, öffentlich an den Pranger gestellt werden. Davor schützen sich Unternehmen, indem sie umfangreiche organisatorische Veränderungen umsetzen und beispielsweise Best-Practice-Methoden für das digitale Management einführen und Sicherheitstechnologien implementieren, die kritische Stellen für persönliche Daten schützen, also beispielsweise Anwendungen, die in der Cloud gehostet sind.
Die DSGVO gibt den Bürgern die Kontrolle über ihre persönlichen Daten zurück, Unternehmen müssen respektieren, dass sich die Transaktionsbeziehung mit ihren Kunden geändert hat. Unternehmen, die sich an die gesetzlichen Grundlagen halten, haben von der DSGVO nichts zu befürchten und sind in der Lage, mit der digitalen Generation Schritt zu halten. Unternehmen, die ihre Sorgfaltspflichten vernachlässigen, werden es nicht nur mit dem Gesetz zu tun bekommen, sondern auch das Vertrauen ihrer Kunden verlieren.
Andreas Riepen, Vice President DACH, F5 Networks
