Kundinnen und Kunden haben gemäß DSGVO das Recht, jederzeit und ohne Angabe von Gründen der Verarbeitung ihrer personenbezogenen Daten zu Werbezwecken zu widersprechen bzw. eine ehemals gegebene Einwilligung zu widerrufen. Hinweis: Das folgende Beispiel bezieht sich auf den Versand von Newslettern, gleiches gilt allerdings auch für den Postversand von Werbung.

Um den Abonnentinnen und Abonnenten von Newslettern den Widerruf so einfach wie möglich zu machen, ist in der Regel am Ende eines Newsletters bereits ein Abmeldelink integriert, denn eine Abmeldung muss gemäß DSGVO ebenso einfach sein wie eine Anmeldung. So weit, so gut. Doch wie schnell muss das Unternehmen den Widerruf umsetzen?

Entscheidung der Schwedischen Datenschutzbehörde

Versendet ein Unternehmen trotz Widerruf der Einwilligung weiterhin Werbemails, verstößt es gegen Artikel 6 Abs. 1 DSGVO. So schätzte es die Schwedische Datenschutzbehörde (IMY) in einer aktuellen Entscheidung gegen das Unternehmen H&M ein. Kern des zugrunde liegenden Falls war die Frage, ab welchen Zeitpunkt nach dem Widerruf keine E-Mails mehr versendet werden dürfen. Ein Betroffener hatte Beschwerde eingereicht, da er nach seinem Widerruf nicht von allen Newslettern abgemeldet wurde und weitere vier Monate die unerwünschte elektronische Post erhielt.

Formulierung mit Interpretationsspielraum

Art. 12 Abs. 3 DSGVO besagt, dass der Verantwortliche der betroffenen Person unverzüglich Informationen über die ergriffenen Maßnahmen zur Verfügung stellt, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Die IMY interpretiert diese Vorgabe so, dass der Verantwortliche unverzüglich den Werbewiderspruch zu bearbeiten und umzusetzen hat.

Die Formulierungen „unverzüglich“ und „so schnell wie möglich“ sorgen allerdings immer wieder für Unsicherheiten bei Unternehmen. Das liegt daran – und so bestätigte es auch die IMY – dass es stets eine Frage des Einzelfalls und der konkreten Umstände ist, wie schnell der Verantwortliche den Widerspruch umsetzen muss. Da H&M ein großer Konzern ist und automatisierte Verfahren im E-Mail-Marketing einsetzt, entschied das IMY, dass eine Umsetzungsfrist von 2 Tagen angemessen sei. Nach Ablauf dieser Frist hätten keine weiteren E-Mails versendet werden dürfen.

Nehmen Sie das Wort „unverzüglich“ ernst

Umsetzungsfristen gelten nicht nur im Falle eines Widerrufs, sondern auch zum Beispiel bei Anfragen Betroffener. In vielen Unternehmen herrscht die Meinung vor, dass die Bearbeitungsfrist grundsätzlich einen Monat beträgt, doch dem ist nicht so. Es gilt unverzüglich – also ohne eine Verzögerung – zu reagieren! Ein Monat wird zwar in der DSGVO erwähnt, dies ist allerdings als maximaler Bearbeitungszeitraum in besonderen Ausnahmefällen zu verstehen. Lesen Sie hierzu auch unseren Artikel: Aufgepasst: DSGVO-Verstöße beschäftigen Arbeitsgerichte.

Um unverzüglich reagieren zu können, sollten Unternehmen ihre Abläufe und Prozesse prüfen und gegebenenfalls anpassen. Automatisierung ist ein hilfreiches Instrument, doch auch dieses muss DSGVO-konform umgesetzt sein.

Wie werden Widerrufe und Anfragen Betroffener bei Ihnen bearbeitet? Vereinbaren Sie einen Termin mit uns – wir unterstützen Sie gern.