Was soll geprüft werden?

Im engeren Sinne geht es um die Auslegung von Art. 6 Abs. 1 S. 1 Buchst. b) DSGVO, der die Daten in Verträgen anspricht. Im weiteren Sinne geht es um die Frage, inwieweit Unternehmen personenbezogenen Daten einen wirtschaftlichen Wert verleihen können und deren Auswertung vertraglich festlegen können. Kurzum: Dürfen Unternehmen Datenwucher betreiben?

Prüfen die Aufsichtsbehörden erst einmal nur strikt nach DSGVO die Einwilligungen, müssen die Verbraucherverbände nachziehen und die Klauseln in den Nutzungsbedingungen darauf prüfen, ob sie mit dem Verbraucherschutzrecht in Einklang stehen. Bis dann die jeweiligen Fragen vor Gericht geklärt sind, kann es schon einmal ein Jahrzehnt bis zum letzten Richterspruch dauern. Anders wäre es möglicherweise, wenn die Aufsichtsbehörden von Anfang an in Übereinstimmung mit dem Vertragsrecht und dem Verbraucherschutzrecht prüfen würden.

Der Europäische Datenschutzausschuss, in dem alle europäischen Datenschutz-Aufsichtsbehörden zu einer gemeinsamen Meinung kommen sollen, hat dazu Guidelines veröffentlicht, in denen er nur eine abstrakte Prüfung fordert. Um die genauen Vertragsinhalte sollen sich die Verbraucherschützer kümmern.

Kritik: Inflation der Einwilligung

Was das bedeutet, erklärt Datenschutzexperte Malte Engeler so: "Praktisch relevant wird das dort, wo Klauseln in Verträgen bestimmte Datenverarbeitungen wirksam vereinbaren, etwa bei einem Bäcker, der nur Kartenzahlungen nimmt. Dort wären dann die ganzen Lastschriftdaten 'erforderlich' für diese konkrete Situation." Der Europäische Datenschutzausschuss prüft aber den Fall nur abstrakt nach dem Motto: Braucht man zwingend eine Kartenzahlung beim Bäcker? Die Antwort würde dann Nein lauten, weil es ja auch Bargeld gäbe. Im konkreten Fall müsste der Bäcker also eine Einwilligung der Kunden einholen, die mit Karte zahlen wollen.

Für Engeler ist klar: "Das führt am Ende dazu, dass die Kunden und Kundinnen überall in alles einwilligen und oft auch in mehr, als was wirklich nötig wäre." Prüfte die Datenschutzaufsicht hingegen anhand der konkreten Klauseln, ließen sich unmittelbar unzulässige Regelungen herausfiltern. So könnte man konkret untersagen, dass die Kundendaten an einen Schuldnerpranger weitergegeben werden, falls die Lastschrift scheitert. Engeler: "Einen solchen Filter kennt die Einwilligung aber nicht - da geht es nur um Informiertheit." Transparenz allein aber helfe dem Kunden in solchen Fällen nicht weiter.