In einer Entscheidung vom 18. Februar 2025 berichtet die estnische Datenschutzaufsichtsbehörde (DPI) über einen Fall wegen eines Verstoßes gegen Art. 7 Abs. 3 DSGVO durch ein Unternehmen.
Sachverhalt
Der Beschwerdeführer erhielt einen Newsletter an seine E-Mail-Adresse, der einen Abmeldelink enthielt, der aber nicht funktionierte. Nach Angaben des Beschwerdeführers wandte er sich mehrmals an den Kundenservice, woraufhin ihm mitgeteilt wurde, dass er seine Profileinstellungen in der App ändern müsse, um den Newsletter abzubestellen.
Der für die Verarbeitung Verantwortliche erklärte, dass alle Direktmarketing-Angebote einen Abmeldelink enthalten, der Abmeldelink gerade in der dem Beschwerdeführer zugesandten Mail jedoch einen technischen Fehler aufwies. Nach Anfrage durch die Datenschutzbehörde wurde die E-Mail-Adresse des Betroffenen dann manuell aus dem Verteiler entfernt. Das Kundenserviceteam hat jedoch die Zusendung von Direktwerbung vorher nicht manuell unterbunden, als der Betroffene den Verantwortlichen um Unterstützung bat.
Entscheidung
Die estnische Datenschutzbehörde verwarnte den Verantwortlichen nach Art. 58 Abs. 2 b) DSGVO wegen eines Verstoßes gegen Art. 7 Abs. 3 DSGVO.
Zur Begründung führte die Aufsichtsbehörde aus:
„Wenn ein Opt-out-Link verwendet wird, um ein Angebot kostenlos und auf einfache Weise abzulehnen, muss sichergestellt werden, dass der Opt-out-Link funktioniert.“
„Wendet sich der Kunde an den Verantwortlichen und bittet um Unterstützung bei der Unterbindung von Direktwerbung, weil der Opt-out-Link nicht funktioniert oder nicht vorhanden ist, muss der Verantwortliche, wenn der Kunde dies wünscht, die Zusendung von Direktwerbung manuell unterbinden.“
Der für die Verarbeitung Verantwortliche darf
„den Kunden nicht anweisen, zusätzlich andere elektronische Schnittstellen (z. B. eine App) zu nutzen, wenn der Kunde dies nicht wünscht.“
Fazit
Der Fall zeigt, dass Verantwortliche auf Betroffenenanfragen nicht vorschnell ablehnend reagieren sollte, weil entsprechende Einstellungsmöglichkeiten etwa im Kundenkonto möglich sind. Nach Art. 12 Abs. 2 DSGVO hat der Verantwortliche die Ausübung der Rechte nach Art. 15-22 DSGVO zu erleichtern. Es gibt mittlerweile durchaus auch Ansichten, die für die Ausübung von Betroffenenrechten einen Verweis auf Self-Service Tools für Nutzer als zulässig ansehen. Für das Unternehmen im konkreten Fall könnte man hier auch noch in die Waagschale werfen, dass der Widerruf der Einwilligung nach Art. 7 Abs. 3 DSGVO nicht in Art. 12 Abs. 2 DSGVO referenziert wird. Gleichzeitig gibt aber Art. 7 Abs. 3 DSGVO vor, dass der Widerruf der Einwilligung so einfach sein muss, wie deren Erteilung. Am Ende sollte man aus Sicht des Verantwortlichen überlegen, ob man zur Vermeidung einer Eskalation (=Beschwerde bei der Aufsichtsbehörde), entsprechende Nutzerwünsche nicht doch direkt umsetzt.