Wer eine Einwilligung behauptet, muss sie belegen
Die DSGVO dreht die Beweislast um: Nicht die betroffene Person muss zeigen, dass sie nie zugestimmt hat. Der Verantwortliche muss zeigen, dass sie es getan hat – und zwar Jahre später und für den einzelnen Fall.
Art. 7 Abs. 1 DSGVO ist ein kurzer Satz mit großer Wirkung: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass sie erteilt wurde. Ohne diesen Nachweis steht die Verarbeitung ohne Grundlage da – so, als hätte es die Einwilligung nie gegeben.
Was ein belastbares Protokoll enthält
- ZeitpunktDatum und Uhrzeit der Entscheidung, in einer nachvollziehbaren Zeitzone.
- Inhalt der EntscheidungWelche Zwecke angenommen und welche abgelehnt wurden – einzeln, nicht als Gesamtergebnis.
- ZuordnungEine Kennung, über die sich die Entscheidung später wiederfinden lässt – ohne Klartext-IP.
- Die Fassung, die gezeigt wurdeTexte, Zweckliste und Gestaltung zum damaligen Zeitpunkt – oder eine Versionsnummer, hinter der ein unveränderter Stand liegt.
Warum der Browser als Ablageort nicht genügt
Viele Umsetzungen speichern die Entscheidung ausschließlich im Gerät der betroffenen Person. Für die Anzeige des Banners genügt das – für den Nachweis nicht, und zwar aus drei Gründen.
Der Eintrag liegt außerhalb des Zugriffs des Verantwortlichen: Bei einer Beschwerde lässt sich der Eintrag nicht vorlegen. Der Eintrag lässt sich jederzeit ändern, auch versehentlich, und trägt keinerlei Schutz gegen Veränderung. Und beim Löschen der Browserdaten verschwindet der Eintrag, während die darauf gestützte Verarbeitung fortbesteht.
Wie lange aufzubewahren ist
Eine feste Frist nennt die Verordnung nicht. Der Maßstab ergibt sich aus dem Zweck: Der Nachweis wird gebraucht, solange die Verarbeitung läuft, und darüber hinaus so lange, wie Ansprüche daraus geltend gemacht werden können.
In der Praxis läuft das auf die Dauer der Einwilligung plus die Verjährungsfrist hinaus. Wird die Einwilligung widerrufen, endet die Verarbeitung – der Nachweis über die frühere Einwilligung bleibt aber nötig, denn der Nachweis belegt, dass die zurückliegende Verarbeitung rechtmäßig war.
Zwei Protokolle vor derselben Aufsichtsbehörde
Der Nachweis muss den einzelnen Fall belegen. Eine Aussage über die Einrichtung des Systems ist eine Aussage über das System, nicht über diese eine Einwilligung.