Kopplungsverbot

Was die Norm tatsächlich verlangt

Der Begriff steht so nicht im Gesetz. Gemeint ist Artikel 7 Absatz 4 DSGVO: Bei der Beurteilung, ob eine Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig ist, die für diese Erfüllung gar nicht erforderlich ist.

Das ist zunächst eine Abwägungsregel und kein pauschales Verbot. Erwägungsgrund 43 wird allerdings deutlicher und sagt, die Einwilligung gelte nicht als freiwillig erteilt, wenn die Erfüllung eines Vertrags von einer Einwilligung abhängt, die dafür nicht erforderlich ist. Derselbe Erwägungsgrund nennt einen zweiten Fall, der oft übersehen wird: Freiwillig ist eine Einwilligung auch dann nicht, wenn zu verschiedenen Verarbeitungsvorgängen nicht gesondert eingewilligt werden kann, obwohl das im Einzelfall angebracht wäre. Ein Sammelhäkchen für mehrere Zwecke fällt damit unter dieselbe Kritik wie die klassische Kopplung.

Der Maßstab dahinter steht in Erwägungsgrund 42: Von Freiwilligkeit kann nur ausgegangen werden, wenn die betroffene Person eine echte oder freie Wahl hat und in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden.

Die drei Kopplungen, die bei Veranstaltungen vorkommen

Die erste ist die Anmeldung, die nur abgeschickt werden kann, wenn zugleich der Newsletter abonniert wird. Der Newsletter hat mit der Durchführung der Veranstaltung nichts zu tun, also ist die Einwilligung nicht erforderlich und die Kopplung angreifbar.

Die zweite ist die Foto-Einwilligung als Teilnahmebedingung. Wer nicht fotografiert werden möchte, soll trotzdem teilnehmen können. Der saubere Weg ist organisatorisch und nicht juristisch: ein gekennzeichneter Bereich ohne Aufnahmen statt eines Ausschlusses.

Die dritte betrifft Aussteller. Eine Anmeldung, die nur funktioniert, wenn die Kontaktdaten anschließend an alle Aussteller fließen dürfen, koppelt ebenfalls. Beim Leadscanning löst sich das von selbst, wenn der Kontakt erst entsteht, sobald beide Seiten ihn wollen.

Warum die Vertragserfüllung der bessere Weg ist

Der häufigste Grund für eine Kopplung ist ein Missverständnis: Viele Veranstalter glauben, sie bräuchten für die Anmeldung überhaupt eine Einwilligung. Das ist meist nicht der Fall. Wer sich anmeldet, schließt ein Vertragsverhältnis, und Erwägungsgrund 44 hält fest, dass eine Verarbeitung rechtmäßig ist, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist.

Daraus folgt eine saubere Trennung. Alles, was zur Durchführung gehört, läuft ohne Einwilligung. Alles, was darüber hinausgeht, bekommt eine eigene, getrennt ankreuzbare Zustimmung. Diese Aufteilung ist nicht nur rechtlich stabiler, sie ist auch praktisch besser: Eine Einwilligung ist jederzeit widerrufbar, und wer seine Kerndaten darauf stützt, steht nach einem Widerruf ohne Grundlage da.

Behörden und Hochschulen: der strengere Maßstab

Für öffentliche Stellen gilt eine Verschärfung, die in Ausschreibungen und Prüfungen regelmäßig auftaucht. Erwägungsgrund 43 sagt, dass eine Einwilligung in besonderen Fällen keine gültige Rechtsgrundlage liefern sollte, nämlich dann, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht, insbesondere wenn der Verantwortliche eine Behörde ist.

Eine Hochschule, die Studierende zu einer Pflichtveranstaltung einlädt, sollte sich deshalb nicht auf deren Einwilligung stützen. Dasselbe gilt für schulische Zusammenhänge, in denen die Teilnahme faktisch erwartet wird. Wie sich das bei minderjährigen Teilnehmenden auflöst, beschreibt der Beitrag zu Schülerdaten bei der Berufsorientierung.

Wie es sich im Formular lösen lässt

Drei Regeln reichen aus. Erstens ein eigenes Kästchen je Zweck, unangekreuzt, mit einem Text, den man ohne juristische Vorbildung versteht. Zweitens keine Verknüpfung mit dem Absenden: Die Anmeldung muss auch dann durchgehen, wenn kein einziges dieser Kästchen gesetzt ist. Drittens eine klare Trennung von den Teilnahmebedingungen, denn die Zustimmung zu Vertragsbedingungen ist etwas anderes als eine datenschutzrechtliche Einwilligung und gehört nicht in dasselbe Feld.

Wer prüfen will, ob ein Formular sauber ist, stellt eine einzige Frage: Lässt sich die Anmeldung abschicken, ohne irgendeine freiwillige Zustimmung zu geben? Lautet die Antwort nein, liegt eine Kopplung vor. Den größeren Zusammenhang beschreibt DSGVO im Eventkontext. Dieser Eintrag ordnet die Rechtslage ein und ersetzt keine Beratung im Einzelfall.

Ist jede Kopplung verboten?

Artikel 7 Absatz 4 formuliert eine Abwägungsregel, kein ausdrückliches Verbot. Erwägungsgrund 43 sagt allerdings, die Einwilligung gelte nicht als freiwillig, wenn eine Leistung von einer dafür nicht erforderlichen Zustimmung abhängt. In der Praxis sollten Sie eine solche Kopplung deshalb wie unwirksam behandeln.

Darf die Anmeldung eine Foto-Einwilligung verlangen?

Als Bedingung für die Teilnahme nicht. Die Aufnahme ist für die Durchführung nicht erforderlich. Sinnvoll ist eine getrennte, freiwillige Abfrage, ergänzt um einen gekennzeichneten Bereich ohne Aufnahmen.

Was gilt für Hochschulen und Behörden?

Ein strengerer Maßstab. Erwägungsgrund 43 nennt das klare Ungleichgewicht zwischen betroffener Person und Verantwortlichem, insbesondere bei Behörden, als Fall, in dem eine Einwilligung keine gültige Rechtsgrundlage liefern sollte. Stützen Sie sich dort besser auf eine andere Grundlage.

Wie viele Kästchen brauche ich?

So viele, wie es getrennte Zwecke gibt. Nach Erwägungsgrund 43 ist eine Einwilligung auch dann nicht freiwillig, wenn zu verschiedenen Verarbeitungsvorgängen nicht gesondert eingewilligt werden kann. Ein Sammelhäkchen für Fotos, Newsletter und Datenweitergabe genügt dem nicht.