Datenschutzrechtliche Einordnung eines Praxisfalls
In vielen Unternehmen stellt sich regelmäßig die Frage, wie zu verfahren ist, wenn Kundinnen oder Kunden eine Einwilligung zur Speicherung ihrer Daten nicht erteilen möchten, der eigentliche Kaufvertrag jedoch bereits rechtswirksam abgeschlossen wurde. Ein aktueller Fall aus der Praxis zeigt, wie die datenschutzrechtliche Bewertung nach der DSGVO vorzunehmen ist und welche Handlungsspielräume bestehen.
Zunächst ist festzuhalten, dass die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO nur dann erforderlich ist, wenn keine andere Rechtsgrundlage für die Verarbeitung personenbezogener Daten vorhanden ist. Für die Durchführung eines Kaufvertrages sieht die DSGVO jedoch mit Art. 6 Abs. 1 lit. b eine klare und unmittelbar anwendbare Erlaubnisnorm vor. Das bedeutet, dass die personenbezogenen Daten, die zur Bestellung, Lieferung, Rechnungsstellung oder Abwicklung eines Auftrags notwendig sind, ohne zusätzliche Einwilligung verarbeitet werden dürfen und verarbeitet werden müssen, damit der Vertrag erfüllt werden kann. Eine verweigerte Einwilligung hat auf diese datenschutzrechtlich erforderlichen Verarbeitungsschritte keinen Einfluss.
Der in diesem Fall vorgelegte Einwilligungstext bezog sich ausschließlich auf Verarbeitungen, die über die eigentliche Vertragsdurchführung hinausgehen. Hierzu zählt insbesondere die Nutzung von Kundendaten zu Zwecken der Direktwerbung. Der Text der Einwilligung verweist ausdrücklich auf Art. 6 Abs. 1 lit. a DSGVO als Grundlage für diese freiwilligen Marketingmaßnahmen. Die Kundin verweigert damit lediglich die werbliche Nutzung ihrer Daten, nicht jedoch die Verarbeitung zur Erfüllung des abgeschlossenen Vertrages. Daraus folgt eindeutig, dass der Verkäufer die Ware trotz fehlender Einwilligung bestellen und an die Kundin versenden darf. Die Verarbeitung der hierfür erforderlichen Kundendaten ist durch Art. 6 Abs. 1 lit. b DSGVO gedeckt und somit vollständig rechtmäßig.
Unzulässig wäre lediglich eine Verarbeitung, die allein auf der Einwilligung der Kundin beruhen würde, insbesondere der Versand von Werbung per E-Mail, Post oder Telefon. Da die Einwilligung hierzu nicht erteilt wurde, dürfen diese Maßnahmen nicht erfolgen. Die Vertragserfüllung selbst bleibt davon unberührt. Unternehmen sollten zudem beachten, dass die Informationspflichten nach Art. 13 DSGVO unabhängig von einer Einwilligung zu erfüllen sind. Die Kundin ist über die Art und Zwecke der Datenverarbeitung zu informieren, selbst wenn sie freiwillige Zusatzverarbeitungen ablehnt.
Abschließend ist klarzustellen, dass die Verarbeitung der für die Vertragsabwicklung notwendigen Daten im internen ERP-System selbstverständlich zulässig und erforderlich ist. Dies betrifft insbesondere die Erfassung von Lieferadresse, Kontaktdaten, Rechnungsinformationen sowie möglichen Garantie- oder Gewährleistungsdaten. Auch diese Verarbeitung beruht ausschließlich auf Art. 6 Abs. 1 lit. b DSGVO und ist zur Erfüllung des Kaufvertrages unverzichtbar.
Der Fall zeigt deutlich, dass die Verweigerung einer Einwilligung nicht bedeutet, dass ein Unternehmen den Vertrag nicht ausführen darf.
Die DSGVO unterscheidet klar zwischen notwendigen und freiwilligen Verarbeitungen. Während Marketingmaßnahmen ohne Einwilligung unterbleiben müssen, bleibt die Vertragserfüllung rechtlich unproblematisch. Unternehmen sind damit auf der sicheren Seite, wenn sie personenbezogene Daten ausschließlich zweckgebunden und auf Grundlage der gesetzlichen Erlaubnistatbestände verarbeiten.
Wenn Sie eine ähnliche Fragestellung in Ihrem Unternehmen haben oder Unterstützung bei der Gestaltung datenschutzkonformer Einwilligungs- und Informationsprozesse benötigen, beraten wir Sie gerne.
Dr. Spörrer und sein Team