Einwilligung im Online-Formular: was das DSG vorsieht

Ein Pilatesstudio in Luzern stellt seine Kursanmeldung ins Netz: Name, E-Mail, Telefon, der gewünschte Kurs, eine Frage nach Beschwerden am Rücken. Ganz unten steht, wie unter vielen Formularen, ein Häkchen: «Ich habe die Datenschutzerklärung gelesen und bin einverstanden.» Ohne Häkchen lässt sich das Formular nicht absenden.

Die Inhaberin hat das Häkchen von einer anderen Website übernommen. Ob es nötig ist, was es bewirkt und ob es die Frage nach den Rückenbeschwerden abdeckt, weiss sie nicht. Damit ist sie in guter Gesellschaft: Das Häkchen ist so verbreitet, dass es wie eine Pflicht aussieht. Das Datenschutzgesetz sieht die Sache differenzierter.

Information und Einwilligung sind zwei verschiedene Dinge

Das DSG unterscheidet zwei Vorgänge, die in Formularen oft zu einem einzigen Häkchen verschmelzen.

Die Information ist eine Pflicht des Betriebs. Wer Personendaten beschafft, informiert die betroffene Person angemessen darüber (Art. 19 Abs. 1 DSG). Dazu gehören mindestens die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger (Art. 19 Abs. 2 DSG). Die Information geschieht, ob die Person zustimmt oder nicht.

Die Einwilligung ist eine Erklärung der betroffenen Person. Das DSG nennt sie als einen von mehreren Gründen, die eine Bearbeitung rechtfertigen können — neben einem überwiegenden privaten oder öffentlichen Interesse und dem Gesetz (Art. 31 Abs. 1 DSG).

Der EDÖB hat diese Unterscheidung in einem Merkblatt zu Patientenformularen ausführlich beschrieben. Zur Information hält er fest, dass die ausdrückliche Kenntnisnahme keine Gültigkeitsvoraussetzung ist: Ob die Informationspflicht erfüllt ist, hängt nicht von einer Unterschrift der Patientin ab. Um keine unnötigen Probleme zu schaffen, sei es besser, keine Unterschrift zu verlangen.

Übertragen auf das Online-Formular heisst das: Ein Häkchen «Ich habe die Datenschutzerklärung gelesen» bestätigt eine Kenntnisnahme, die das Gesetz gar nicht verlangt. Was verlangt wird, ist, dass die Information da ist — gut sichtbar, verständlich und ohne dass jemand danach suchen muss.

Wann das DSG eine Einwilligung vorsieht

Im privaten Bereich braucht nicht jede Bearbeitung von Personendaten eine Rechtfertigung. Das DSG verbietet, die Persönlichkeit der betroffenen Personen widerrechtlich zu verletzen (Art. 30 Abs. 1 DSG), und nennt Fälle, in denen insbesondere eine Verletzung vorliegt (Art. 30 Abs. 2 DSG):

• wenn Personendaten entgegen den Grundsätzen bearbeitet werden, etwa unverhältnismässig oder zu einem nicht erkennbaren Zweck;
• wenn sie entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden;
• wenn besonders schützenswerte Personendaten Dritten bekanntgegeben werden.

Erst dann stellt sich die Frage nach einem Rechtfertigungsgrund. Einer davon ist für Formulare besonders häufig einschlägig: Ein überwiegendes Interesse kommt insbesondere in Betracht, wenn der Verantwortliche Personendaten über die Vertragspartnerin in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet (Art. 31 Abs. 2 Bst. a DSG).

Für das Pilatesstudio bedeutet das: Name, E-Mail und der gewünschte Kurs dienen der Anmeldung selbst. Dafür braucht es in der Regel keine Einwilligung, wohl aber eine Information. Der EDÖB beschreibt dasselbe Muster in der Arztpraxis: Daten, die im Rahmen einer Behandlung bearbeitet werden, fallen unter den Behandlungsvertrag; die Einwilligung wird vor allem dort wichtig, wo Daten an Dritte weitergegeben werden.

Wo eine Einwilligung ins Spiel kommt

Einige Situationen, in denen Formulare tatsächlich um Einwilligung bitten, tauchen im Alltag kleiner Betriebe immer wieder auf.

Situation im Formular	Was das DSG dazu sagt
Angaben zur Gesundheit, etwa Beschwerden oder Allergien	Gesundheitsdaten sind besonders schützenswert; wo eine Einwilligung nötig ist, muss sie ausdrücklich erfolgen (Art. 6 Abs. 7 DSG)
Newsletter zusätzlich zur Anmeldung	Ein eigener Zweck neben dem Vertrag; die Einwilligung muss sich auf diese bestimmte Bearbeitung beziehen (Art. 6 Abs. 6 DSG)
Weitergabe an einen Partnerbetrieb	Eine Bekanntgabe an Dritte; bei besonders schützenswerten Daten nennt das Gesetz sie ausdrücklich (Art. 30 Abs. 2 Bst. c DSG)
Fotos von Teilnehmenden für die Website	Ein Zweck, der mit der Anmeldung nicht zusammenhängt und für die Person erkennbar sein muss (Art. 6 Abs. 3 DSG)

Die Frage nach den Rückenbeschwerden fällt in die erste Zeile. Ob das Studio sie auf den Vertrag stützen kann oder eine ausdrückliche Einwilligung braucht, hängt vom Einzelfall ab. Klar ist nur: Ein allgemeines Häkchen zur Datenschutzerklärung ist keine Einwilligung, die sich erkennbar auf die Gesundheitsangaben bezieht.

Was eine gültige Einwilligung ausmacht

Wo eine Einwilligung erforderlich ist, ist sie nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG). Der EDÖB fasst das in seinem Merkblatt in drei Eigenschaften:

Aufgeklärt. Die Person weiss, welche Daten zu welchem Zweck bearbeitet werden, und kann die Folgen abschätzen. Dazu gehören mindestens die Angaben nach Art. 19 DSG, je nach Fall auch Aufbewahrungsdauer und Empfänger.

Spezifisch. Die Einwilligung bezieht sich auf bestimmte Bearbeitungen. Pauschale Klauseln oder Blanko-Einwilligungen schliesst der EDÖB aus; eine Einwilligung soll dann eingeholt werden, wenn sich die Frage konkret stellt.

Frei. Die Person hat eine echte Wahl und kann ablehnen oder widerrufen, ohne unverhältnismässige Nachteile. Hat sie eigentlich keine andere Wahl, als einzuwilligen, ist die Einwilligung nach dem EDÖB nicht frei.

Für ein Formular folgen daraus zwei praktische Beobachtungen. Ein Häkchen, ohne das sich die Kursanmeldung nicht absenden lässt, lässt der Person keine Wahl — für den Kurs selbst braucht es die Einwilligung ja auch nicht. Und ein Häkchen, das mehrere Zwecke auf einmal abdeckt, ist nicht spezifisch. Wo das Merkblatt eine Wahlmöglichkeit beschreibt, nennt es als Beispiel ein Kästchen zum Ankreuzen auf dem Formular.

Nachweis und Widerruf

Eine Einwilligung ist an keine Form gebunden. Der EDÖB hält aber fest, dass eine dokumentierte Einwilligung aus Beweisgründen vorzuziehen ist. In einem Online-Formular liegt das nahe: Mit der Antwort lassen sich der Zeitpunkt und der genaue Wortlaut speichern, dem die Person zugestimmt hat. Ändert der Betrieb den Text später, bleibt nachvollziehbar, was damals galt.

Wir machen es auf dieser Website so. Wer sich hier benachrichtigen lässt, wenn eine App startet, dessen Eintrag enthält den Zeitpunkt der Zustimmung und den Wortlaut, der dabei angezeigt wurde.

Dient die Einwilligung als Rechtsgrundlage, kann sie jederzeit und ohne Begründung widerrufen werden. Der Verantwortliche soll dafür einfache Möglichkeiten bieten, schreibt der EDÖB. Für ein Formular heisst das: Neben dem Häkchen steht, wie man es wieder zurücknimmt — eine Adresse, ein Link, ein Abmeldeweg im Newsletter.

Ein aufgeräumtes Formular

Zurück zum Pilatesstudio. Eine überarbeitete Fassung seines Formulars könnte so aussehen:

1. Über dem Absende-Knopf ein kurzer Satz: wer die Angaben erhält, wozu, wie lange sie aufbewahrt werden, mit einem Link auf die vollständige Datenschutzerklärung. Kein Pflicht-Häkchen.
2. Die Frage nach Beschwerden mit einem eigenen Hinweis, wozu sie gestellt wird — und, wenn das Studio dafür eine Einwilligung einholt, ein eigenes Kästchen, das genau diese Angaben benennt.
3. Der Newsletter als separates, leeres Kästchen, ohne das die Anmeldung trotzdem funktioniert.
4. Ein Satz, wie man eine erteilte Einwilligung widerruft.

Das Formular wird dadurch nicht länger. Es wird eindeutiger: Jede Person sieht, wofür sie etwas freigibt und wofür nicht.

Wie weit diese Überlegungen für einen bestimmten Betrieb gehen, hängt vom Zweck, von den Daten und vom Zusammenhang ab. Die Merkblätter des EDÖB sind ein guter Ausgangspunkt, um die eigenen Formulare durchzugehen. In der Formulare-App, die wir entwickeln, werden Sie Aufbewahrungsfristen je Formular selbst festlegen können — eine der Angaben, die in die Information über dem Absende-Knopf gehört.