KVKK-Warnung an Geschäfte bezüglich SMS: Aufklärung muss erfolgen, ausdrückliche Zustimmung ist erforderlich

In letzter Zeit fiel auf, dass Kunden in Geschäften während des Kassiervorgangs unter dem Vorwand, die Zahlung abzuschließen oder eine Rechnung zu erstellen, SMS-Bestätigungscodes zugesandt wurden, woraufhin die Kunden jedoch unerwünschte Werbe-SMS von den Geschäften erhielten. Die KVKK hat die Geschäfte nun zum zweiten Mal wegen dieser umstrittenen Praxis verwarnt.

Persönliche Daten sind nicht mehr privat. Unsere Informationen werden entweder durch Hackerangriffe auf die Systeme der Institutionen, bei denen wir registriert sind, entwendet oder wir geben sie beim Einkaufen freiwillig an die Geschäfte weiter. Zuletzt sorgte die Praxis, dass Geschäfte beim Bezahlvorgang unter dem Vorwand der SMS-Verifizierung und Rechnungserstellung nach Telefonnummern fragten, um diese anschließend für Werbe- und Ankündigungs-SMS zu nutzen, für Empörung. Die Behörde für den Schutz personenbezogener Daten (KVKK) machte in einer auf ihrer Website veröffentlichten Erklärung auf diesen Umstand aufmerksam.

In der Erklärung der KVKK wurde daran erinnert, dass aufgrund früherer Beschwerden zum gleichen Thema bereits eine öffentliche Bekanntmachung veröffentlicht wurde. Da die aktuelle Praxis jedoch fortbestehe, sei es notwendig geworden, „die öffentliche Bekanntmachung zu aktualisieren“, hieß es.

Die Erklärung, in der betont wird, dass Geschäfte die Verbraucher aufklären und deren ausdrückliche Zustimmung einholen müssen, lautet wie folgt:

In Artikel 5 des Gesetzes zum Schutz personenbezogener Daten Nr. 6698 (Gesetz) sind die Bedingungen für die Verarbeitung personenbezogener Daten geregelt. Demnach ist in Absatz (1) von Artikel 5 festgelegt, dass personenbezogene Daten ohne die ausdrückliche Zustimmung der betroffenen Person nicht verarbeitet werden dürfen, während in Absatz (2) die Bedingungen aufgeführt sind, unter denen eine Verarbeitung ohne ausdrückliche Zustimmung möglich ist.

In Artikel 3 des Gesetzes ist die ausdrückliche Zustimmung als „eine auf eine bestimmte Angelegenheit bezogene, auf Information beruhende und in freier Willensentscheidung erklärte Zustimmung“ definiert. Aus dieser Definition geht hervor, dass die ausdrückliche Zustimmung drei Elemente enthalten muss. Erstens muss die eingeholte Zustimmung auf eine bestimmte Angelegenheit bezogen und auf diese beschränkt sein; mit anderen Worten: Der für die Datenverarbeitung Verantwortliche muss klar darlegen, für welchen Zweck die Zustimmung eingeholt wird. Wenn eine Zustimmung zur Verarbeitung von Daten aus mehreren Kategorien eingeholt werden soll, ist es zwingend erforderlich, dass die Zustimmung auch die verschiedenen Aspekte der Verarbeitung abdeckt, wie etwa welche Daten zu welchen Zwecken verarbeitet werden. Die ausdrückliche Zustimmung ist eine Willenserklärung, und damit eine Person frei zustimmen kann, muss sie wissen, wozu sie zustimmt; in diesem Sinne muss die Person nicht nur über das Thema, sondern auch über die Konsequenzen ihrer Zustimmung vollständig informiert sein. Schließlich erlangt die ausdrückliche Zustimmung als Willenserklärung nur dann Gültigkeit, wenn die Person sich ihres Handelns bewusst ist und die Entscheidung selbst trifft. Jegliche Umstände, die den Willen einer Person beeinträchtigen, wie Zwang, Drohung, Irrtum oder Täuschung, machen auch die für die Verarbeitung personenbezogener Daten erteilte ausdrückliche Zustimmung ungültig; in solchen Fällen kann nicht von einer freien Willensentscheidung gesprochen werden. Wenn zudem die Einholung der ausdrücklichen Zustimmung als Vorbedingung für die Bereitstellung eines Produkts oder einer Dienstleistung oder für die Nutzung eines Produkts oder einer Dienstleistung gefordert wird, ist das Element der freien Willensentscheidung verletzt, sodass von einer gültigen ausdrücklichen Zustimmung nicht die Rede sein kann.

Andererseits ist gemäß Artikel 10 des Gesetzes der Verantwortliche oder die von ihm bevollmächtigte Person verpflichtet, die betroffenen Personen bei der Erhebung personenbezogener Daten über die Identität des Verantwortlichen und gegebenenfalls seines Vertreters, den Zweck der Datenverarbeitung, die Empfänger und Zwecke der Datenübermittlung, die Methode und den rechtlichen Grund der Datenerhebung sowie über die in Artikel 11 des Gesetzes genannten sonstigen Rechte aufzuklären. In diesem Rahmen ist die Aufklärungspflicht eine Verpflichtung, die unabhängig davon zu erfüllen ist, ob eine ausdrückliche Zustimmung eingeholt wird oder andere Bedingungen für die Verarbeitung personenbezogener Daten gemäß dem Gesetz vorliegen. Wenn die Datenverarbeitung jedoch auf der ausdrücklichen Zustimmung der betroffenen Person beruht, müssen der Verantwortliche die Aufklärungspflicht und die Einholung der ausdrücklichen Zustimmung als getrennte Vorgänge durchführen.

In diesem Rahmen ist es nach den Bewertungen der Behörde für den Schutz personenbezogener Daten von Bedeutung, dass:

• Der Zweck der SMS, die nach dem Einkauf während des Kassiervorgangs an die Telefone der Personen gesendet wird, sowie die Konsequenzen der Angabe des übermittelten Codes als Teil einer gestuften Aufklärung in der ersten Phase von den durch den Verantwortlichen in den Geschäften bevollmächtigten Personen klar und verständlich vermittelt werden und zudem zur Erfüllung der Aufklärungspflicht in den SMS-Inhalten notwendige Informationskanäle bereitgestellt werden,
• Praktiken, bei denen während des Bezahlvorgangs in Geschäften durch das Senden eines SMS-Verifizierungscodes gleichzeitig ein Mitgliedschaftsvertrag bestätigt, eine Erlaubnis zur Verarbeitung personenbezogener Daten eingeholt oder eine Zustimmung für kommerzielle elektronische Nachrichten erteilt wird, beendet werden und für die verschiedenen Verarbeitungstätigkeiten, die eine ausdrückliche Zustimmung erfordern, durch das Anbieten von Auswahlmöglichkeiten jeweils separat eine ausdrückliche Zustimmung eingeholt wird,
• Darüber hinaus die Einholung der ausdrücklichen Zustimmung und die Erfüllung der Aufklärungspflicht durch die Verantwortlichen getrennt voneinander durchgeführt werden,
• Falls eine Praxis zur Einholung der ausdrücklichen Zustimmung für den Versand kommerzieller elektronischer Nachrichten mittels SMS-Verifizierungscode angewendet wird, die in diesem Prozess eingeholte Zustimmung alle im Gesetz genannten Elemente abdeckt,
• Die Erteilung der ausdrücklichen Zustimmung zur Verarbeitung personenbezogener Daten für den Versand kommerzieller Nachrichten nicht als zwingende Voraussetzung für den Abschluss des Einkaufs präsentiert wird, da dies die Elemente der ausdrücklichen Zustimmung, nämlich „auf Information beruhend und in freier Willensentscheidung erklärt“, verletzen könnte, und solche Praktiken daher gesetzeskonform durchgeführt werden,
• In diesem Rahmen die ausdrückliche Zustimmung zur Verarbeitung personenbezogener Daten für den Versand kommerzieller elektronischer Nachrichten erst nach Abschluss des Einkaufs angefordert wird, um zu verhindern, dass die Zustimmung für kommerzielle elektronische Nachrichten als notwendiger Bestandteil des Einkaufs wahrgenommen wird.

Dies wird der Öffentlichkeit respektvoll mitgeteilt.

Es wird darauf hingewiesen, dass Vorwürfe erhoben wurden, wonach die Angabe des besagten Codes gegenüber dem Kassenpersonal unter dem Vorwand verlangt wurde, dass dies für den Abschluss der Zahlung, die Rechnungserstellung, die Übermittlung der Rechnung an die Kontaktadresse oder die Aktualisierung der Daten erforderlich sei, jedoch nach dem besagten Vorgang den betroffenen Personen kommerzielle elektronische Nachrichten zu den Aktivitäten des jeweiligen Geschäfts zugesandt wurden.