Die österreichische Datenschutzbehörde (DSB) hat mit Bescheid (pdf) vom 9.10.2019 einen Verstoß eines Unternehmens gegen die Vorgaben des Art. 32 DSGVO festgestellt. Der Verstoß lag nach Ansicht der DSB in der fehlenden Umsetzung eines Double-Opt-In-Verfahrens für Registrierungen auf einer Onlinedating-Plattform.
Sachverhalt
Der Beschwerdeführer erhielt auf seine E-Mail-Adresse „Kontaktvorschläge“ und Benachrichtigungen der Beschwerdegegnerin zugesendet. Er selbst hatte sich aber gar nicht auf den Dating-Portalen der Beschwerdegegnerin angemeldet. Zur Erstellung eines Profils bzw. zur Registrierung auf den Dating-Portalen muss der User sein Geschlecht, seinen gewünschten Benutzernamen, ein Passwort und eine E-Mail-Adresse angeben. Die bei Registrierung angegebene E-Mail-Adresse wird ab Erstellung des Profils fortlaufend mit Benachrichtigungen der Beschwerdegegnerin beschickt. Nutzern ist bereits nach erfolgter Registrierung durch Einloggen in die Profile möglich, die Onlinedating-Portale zu nutzen. Für die Nutzung der Onlinedating-Portale der Beschwerdegegnerin muss der User die E-Mail-Adresse, die er bei Registrierung angegeben hat, nicht noch einmal durch Anklicken eines „Aktivierungslinks“, der ihm auf die – bei Registrierung angegebene – E-Mail-Adresse zugeschickt wurde, bestätigen.
Entscheidung
Die DSB sieht in dem hier umgesetzten Registrierungsverfahren einen Verstoß gegen Art. 32 DSGVO. Eine, wie hier vorliegende, unberechtigte Verwendung von E-Mail-Adressen kann nach Ansicht der DSB gegen Art. 5, Art. 6 und Art. 32 DSGVO verstoßen.
Die von Art. 32 DSGVO verlangten technischen und organisatorischen Maßnahmen zur Herstellung der Sicherheit der Datenverarbeitung können nach Ansicht der DSB auf mehrere Arten gewährleistet sein kann.
„Beispielsweise kann eine solche Datenschutzsicherheitsmaßnahme in der Implementierung eines Double-Opt-In-Verfahrens zur rechtskonformen Erlangung einer Einwilligung bestehen“.
Die DSB versteht unter dem Double-Opt-In-Verfahren die Einholung der Zustimmungserklärung des Teilnehmers in einem zweistufigen System, das eine Anmeldung zum Bezug elektronischer Informationen etwa auf der Webseite des Anbieters vorsieht. Erst nach einer auf die Aktivierungsmail bzw. die Kurznachricht gegebenen, die Anmeldung bestätigenden Antwort oder vergleichbaren Reaktion (zB Anklicken eines Links) erfolgt die Zusendung von Werbenachrichten.
Ein solches Verfahren wurde hier nicht umgesetzt, da Nachrichten und Kontaktvorschläge schon vor der Aktivierung eines versandten Links übersendet wurden.
Somit ist es möglich, dass sich ein User nicht mit seiner eigenen E-Mail-Adresse, sondern mit der E-Mail-Adresse eines unbeteiligten Dritten auf den Onlinedating-Portalen registriert.
Dadurch, dass die Beschwerdegegnerin keine ausreichenden, Art. 32 DSGVO entsprechenden Datensicherheitsmaßnahmen gesetzt hat, war es möglich, dass personenbezogene Daten des Beschwerdeführers (nämlich seine E-Mail-Adresse) unrechtmäßig verarbeitet wurden.
Fazit
Leider geht die DSB nicht auf die relevante Frage ein, ob das hier beanstandete System, dass bereits nach erfolgter Registrierung durch Einloggen auf den Webseiten die Onlinedating-Portale genutzt werden können, ohne dies von der Aktivierung im Rahmen des Double-Opt-In abhängig zu machen, gegen den damals geltenden „Stand der Technik“ verstößt. Auf diesen unbestimmten Begriff stellt Art. 32 DSGVO hinsichtlich der Anforderungen an die Maßnahmen ab.
Als Besonderheit kam hier sicherlich hinzu, dass auch ohne separate Bestätigung der E-Mail-Adresse direkt Kontaktvorschläge und andere Informationen (vermutlich werblicher Natur) versendet wurden. Hinsichtlich der Anmeldung zum Erhalt von Werbemails ist das Vorhalten eines Double-Opt-In-Verfahrens schon seit längerer Zeit in der Praxis üblich. Auch wenn man hinzufügen muss, dass dies keine gesetzliche Anforderung darstellt, sondern vielmehr der Nachweisbarkeit einer Anmerkung und damit verbundenen Einwilligung dienen soll.
Womöglich muss man, hinsichtlich der Praxisrelevanz der Entscheidung, auch in Bezug auf den Zweck der Anmeldung unterscheiden. Die DSB bezieht sich in ihrer Begründung ausdrücklich darauf, dass es hier um die Erlangung einer Einwilligung ging. Für diese sollte das Double-Opt-In genutzt werden.
Wie sieht es aber aus, wenn schlicht eine Angabe der E-Mail-Adresse erforderlich ist, die zB im Rahmen eines Kaufs eingegeben wird (etwa für den Versand der Rechnung)? Hier wird man sicherlich diskutieren, ob das geforderte Double-Opt-In Verfahren stets als die erforderliche Sicherheitsmaßnahme anzusehen ist oder ob es nicht Alternativen gibt.