Einwilligungscheckboxen, die als Nachweis bestehen

Artikel 6 Absatz 1 der DSGVO nennt sechs Rechtsgrundlagen, und die Einwilligung ist nur eine davon. Welche passt, hängt davon ab, was Sie mit den Daten tun, nicht vom Formular selbst.

• Beantwortung einer Anfrage. Die Person hat Ihnen eine Frage gestellt und erwartet eine Antwort. Das wird in der Regel nach Artikel 6 Absatz 1 Buchstabe b (Maßnahmen auf Anfrage der betroffenen Person vor Vertragsschluss) oder Buchstabe f (berechtigte Interessen) geregelt. Ein Einwilligungskästchen bringt hier wenig, und es hat einen Nachteil: Die Einwilligung kann jederzeit widerrufen werden (Artikel 7 Absatz 3). Danach müssten Sie die Verarbeitung auf dieser Grundlage einstellen.
• Marketing-E-Mails oder Newsletter. Wer in eine Mailingliste aufgenommen wird, geht über das hinaus, was die Person angefragt hat. Dies ist der klassische Fall für ein separates, optionales Einwilligungskästchen. E-Mail-Werbung unterliegt außerdem den nationalen Vorschriften zur Umsetzung der ePrivacy-Richtlinie, die in den meisten Fällen ebenfalls eine vorherige Einwilligung verlangen.
• Speicherung für später. Den Lebenslauf einer Bewerberin oder eines Bewerbers für künftige Stellen aufzubewahren oder Angaben zu eigenen Zwecken an einen Partner weiterzugeben, sind eigenständige Zwecke. Jeder braucht eine eigene Rechtsgrundlage, und häufig passt hier die Einwilligung.
• Besondere Kategorien personenbezogener Daten. Gesundheitsdaten und die übrigen Kategorien nach Artikel 9 benötigen zusätzlich zu einer Rechtsgrundlage eine Bedingung nach Artikel 9 Absatz 2. Die ausdrückliche Einwilligung ist eine davon.

Artikel 4 Nummer 11 definiert die Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben. Artikel 7 enthält die Bedingungen. Übertragen auf Formulare heißt das:

• Das Kästchen ist zu Beginn nicht angekreuzt. Schweigen, vorausgewählte Kästchen und Untätigkeit sind keine Einwilligung (Erwägungsgrund 32).
• Ein Kästchen pro Zweck, getrennt von der Zustimmung zu Ihren Nutzungsbedingungen (Artikel 7 Absatz 2).
• Der Dienst hängt nicht davon ab, dass das Kästchen angekreuzt wird, sofern die Daten für den Dienst nicht benötigt werden (Artikel 7 Absatz 4).
• Die Person kann die Einwilligung ebenso einfach widerrufen, wie sie erteilt wurde, und wird vor der Zustimmung darauf hingewiesen (Artikel 7 Absatz 3).
• Sie können nachweisen, dass die Person eingewilligt hat und welchen Wortlaut sie vor sich hatte (Artikel 7 Absatz 1).

Der Europäische Datenschutzausschuss erläutert jede dieser Bedingungen ausführlich und mit Beispielen in seinen Leitlinien 05/2020 zur Einwilligung.

Ein guter Einwilligungstext nennt, wer Sie sind, den konkreten Zweck und wie sich die Einwilligung widerrufen lässt. Er liest sich wie ein Satz, dem eine Person zustimmen würde, und nicht wie eine Rechtsklausel. Zum Beispiel:

Ich möchte den monatlichen Newsletter von Acme Studio über neue Kurse per E-Mail erhalten. Ich kann mich jederzeit über den Link in jeder E-Mail abmelden. Lesen Sie die Datenschutzerklärung.

Vermeiden Sie Formulierungen wie „Ich stimme den Nutzungsbedingungen und der Datenschutzerklärung zu“ (gebündelt und ohne konkreten Zweck), „Ich willige in die Verarbeitung meiner Daten ein“ (welche Verarbeitung, und wofür?) oder alles, was das Absenden der Anfrage davon abhängig macht, dass die Person in eine Mailingliste aufgenommen wird.

Jedes Formular hat in seinen Datenschutzeinstellungen eine Einstellung für die DSGVO-Einwilligung, die in jedem Tarif verfügbar ist, auch im Free-Tarif. Sie aktivieren die Erfassung der Einwilligung, schreiben den Einwilligungstext (bis zu 2.000 Zeichen) und legen fest, ob die Einwilligung erforderlich ist.

• Gehostete Formulare zeigen das Kästchen automatisch nicht angekreuzt an, mit Ihrem Text daneben.
• Erforderliche Einwilligung. Ist sie erforderlich, wird eine Einsendung ohne angekreuztes Kästchen mit 422 consent_required abgelehnt, bevor sie gespeichert oder auf Ihr Kontingent angerechnet wird.
• Nachweis. Kreuzt die Person das Kästchen an, speichert Formward zusammen mit der Einsendung den im Formular hinterlegten Einwilligungstext und den Zeitpunkt der Einsendung. Beides wird in der Ansicht der Einsendung angezeigt. Der Text ist eine Momentaufnahme: Ändern Sie den Wortlaut später, behalten frühere Einsendungen den Wortlaut, den die Absender gesehen haben.
• Optionale Einwilligung. Ist die Einwilligung nicht erforderlich und bleibt das Kästchen leer, wird die Einsendung angenommen und dafür keine Einwilligung gespeichert.

Formward erfasst Einwilligungen, verwaltet den Widerruf aber nicht für Sie. Widerruft eine Person ihre Einwilligung, stellen Sie die Verarbeitung ein, die darauf beruhte (bei einem Newsletter melden Sie die Person in Ihrem Mailing-Tool ab), und löschen Sie auf Wunsch ihre Einsendungen.

Bei einem Formular, das Sie selbst hosten, fügen Sie ein Kontrollkästchen mit dem Namen _consent hinzu. Formward wertet on, true, 1 und yes als erteilte Einwilligung. Ein Browser sendet on für ein angekreuztes Kästchen und nichts für ein leeres.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Die Beschriftung muss mit dem Einwilligungstext in den Einstellungen des Formulars übereinstimmen. Formward speichert den hinterlegten Text, niemals den vom Browser gesendeten, daher müssen beide übereinstimmen, damit der Nachweis dem entspricht, was die Person tatsächlich gesehen hat. Der Wert _consent selbst wird nicht zusammen mit den Antworten gespeichert.