Grundsatzentscheidung der KVKK: Eine neue Ära in der SMS-Kommunikation
Die Datenschutzbehörde hat eine wichtige Grundsatzentscheidung zur Verarbeitung personenbezogener Daten durch die Übermittlung von Bestätigungscodes per SMS im Rahmen der Produkt- und Dienstleistungspräsentation veröffentlicht. Die Entscheidung enthält insbesondere kritische Regelungen zum Einsatz von Bestätigungscodes, die bei Zahlungsvorgängen, bei der Registrierung und bei der Erstellung von Mitgliedskonten versendet werden, sowie zu den Genehmigungsprozessen für kommerzielle elektronische Nachrichten.
Im Rahmen der von der Behörde veröffentlichten Grundsatzentscheidung wurden folgende Punkte hervorgehoben:
- Die betroffenen Personen müssen klar und verständlich über den Zweck und die Folgen der per SMS versendeten Bestätigungscodes aufgeklärt werden.
- Die Aufklärung muss sowohl durch die Mitarbeiter des für die Datenverarbeitung Verantwortlichen als auch durch den Inhalt der SMS erfolgen.
- Praktiken, bei denen verschiedene Tätigkeiten zur Verarbeitung personenbezogener Daten, wie die Einholung der Zustimmung zur Mitgliedschaft, zur Zahlungsbestätigung oder zum Erhalt kommerzieller elektronischer Nachrichten, in einem einzigen Vorgang durchgeführt werden, sind zu unterlassen.
- Die Einholung der ausdrücklichen Zustimmung und die Aufklärung müssen unabhängig voneinander erfolgen.
- Die Einwilligung zum Versand kommerzieller elektronischer Nachrichten darf nicht als zwingende Voraussetzung für die Bereitstellung eines Produkts oder einer Dienstleistung dargestellt werden, und der Grundsatz der freien Willensbildung muss gewährleistet sein.
- Die Einwilligung zur Verarbeitung von Daten für kommerzielle Nachrichten muss nach Abschluss der Dienstleistungserbringung eingeholt werden; der betroffenen Person muss klar mitgeteilt werden, dass die Dienstleistung auch ohne Angabe des Codes jederzeit erbracht werden kann und dass die Einwilligungen jederzeit widerrufen werden können.
- Die für die Datenverarbeitung Verantwortlichen müssen regelmäßig die erforderlichen Schulungs- und Sensibilisierungsmaßnahmen für ihre Mitarbeiter durchführen, die an diesem Prozess beteiligt sind.
Mit dieser Grundsatzentscheidung wurde insbesondere für die für die Datenverarbeitung Verantwortlichen, die intensiv im Bereich Marketing und kommerzielle elektronische Nachrichten tätig sind, die Notwendigkeit deutlich, ihre Prozesse zu überprüfen und an die aktuelle Praxis anzupassen.