Interessenabwägung
Wir haben primär zwei Interessen-Gruppen:
- Den Seitenbetreiber (Producer)
- Den Besucher (Consumer)
Der Consumer hat das Interesse, dass mit seinen Daten maximal sparsam und umsichtig umgegangen wird. Er besucht die Seite des Producers, um einen Gütertausch anzubahnen.
Der Producer hast das Interesse, den Bedarf des Consumers zu decken und mit ihm einen Gütertausch durchzuführen.
Beide möchten mit dem Gütertausch zufrieden sein.
Der Producer bietet Güter an, der Consumer bietet zum Tausch Geld und / oder Daten an.
Soweit scheint Klarheit zu existieren. Die DSGVO hilft aber bei der Einteilung, wann zurecht personenbezogene Daten verarbeitet werden dürfen.
Nochmal: wir folgen dem Grundprinzip: privacy by default
Wenn wir aber PBD verarbeiten, dann dürfen wir das nach Art. 6
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
https://dejure.org/gesetze/DSGVO/6.html
Also muss mindestens einer der folgenden Gründe gegeben sein
- Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen, wenn die Person anfrägt
- Berechtigtes Interesse nach Abwägung
- Einwilligung
Alle scheinen sich im Moment auf die Einwilligung zu stürzen, dabei scheinen die beiden ersten Punkte viel einfacher und weniger störend umsetzbar.
Beim ersten muss ich nur dokumentieren, dass der Besucher ein Kunde ist oder eine Aktion ausgeführt hat, die eine vorvertragliche Maßnahme nötig macht (z.B. zum Warenkorb hinzufügen). Hier handeln wir eindeutig im Interesse des Besuchers
Beim zweiten ist die Interessensabwägung zu dokumentieren. Dadurch, dass wir aber dem privacy by design Prinzip folgen, scheint diese Abwägung einfacher darzulegen. Solange wir dem Prinzip der Sparsamkeit folgen, scheint diese Abwägung durchführbar.
Der dritte Fall, also die Einwilligung scheint, wenn man von den 100% Besuchern ausgeht, überflüssig.
Entweder ich habe eine Kundenbeziehung (oder eine Anbahnung davon), oder mein Interesse sollte dem des Besuchers gleichgestellt sein.
Warum sollte er transparent und wissentlich einwilligen, wenn weder der erste noch der zweite Fall zutrifft?