Consent-or-pay bei Online-Plattformen: Wann ist die Einwilligung noch freiwillig?

Eine große Online-Plattform kann die Einwilligung in verhaltensbezogene Werbung nicht ohne Weiteres durch die Wahl zwischen Zustimmung und Zahlung absichern. Die EDPB Opinion 08/2024 verlangt eine fallbezogene Prüfung, ob Nutzerinnen und Nutzer tatsächlich frei entscheiden können und welche werbefreie Alternative ihnen offensteht.

Im Mittelpunkt stehen die kostenlose Alternative ohne verhaltensbezogene Werbung, wirtschaftlicher und sozialer Druck, die Höhe einer allfälligen Gebühr, getrennte Zwecke, verständliche Information und eine dokumentierte Einzelfallbewertung. Der Beitrag behandelt damit eine andere Frage als der Nachweis und Widerruf einer Cookie-Einwilligung oder der Werbewiderspruch im CRM.

Die Opinion 08/2024 beschreibt Consent-or-pay-Modelle als Angebote, bei denen eine Person für den Zugang zu einem Online-Dienst mindestens zwischen Einwilligung in einen bestimmten Verarbeitungszweck und Zahlung wählen kann. Im Mittelpunkt der Opinion steht die Verarbeitung personenbezogener Daten für verhaltensbezogene Werbung durch große Online-Plattformen mit vielen Nutzerinnen und Nutzern im EWR.

Verhaltensbezogene Werbung beruht typischerweise auf der Beobachtung von Aktivitäten über einen Zeitraum, der Bildung von Profilen und einer darauf abgestimmten Werbeausspielung. Die Prüfung erfasst deshalb mehr als den sichtbaren Werbebanner. Tracking, Profilbildung, Datenquellen und Weitergaben können Teil desselben Verarbeitungsvorgangs sein.

Die Opinion ist eine nach Art. 64 Abs. 2 DSGVO angenommene Auslegungshilfe des EDPB und keine selbständige gesetzliche Pflicht. Ob eine Einwilligung gültig ist, hängt vom konkreten Modell und den Anforderungen der DSGVO ab. Für andere Plattformgrößen oder andere Zwecke braucht es eine eigene Prüfung.

Eine Plattform kann die Entscheidung zwischen Zustimmung und Zahlung als echte Wahl darstellen. Nach der EDPB Opinion soll sie zusätzlich prüfen, ob eine kostenlose Alternative ohne verhaltensbezogene Werbung angeboten werden kann. Wird auch die werbefreie Alternative nur gegen Gebühr angeboten, soll eine weitere kostenlose Möglichkeit ohne verhaltensbezogene Werbung geprüft werden. Diese Alternative kann den Druck vermindern, der entsteht, wenn eine Person sonst entweder zahlen oder auf einen wichtigen Dienst verzichten müsste.

Die Alternative muss in ihrer konkreten Ausgestaltung betrachtet werden. Zu vergleichen sind Zugang, Funktionen, Qualität, Informationslage und die Verarbeitung personenbezogener Daten. Eine Variante ist nicht allein deshalb gleichwertig, weil sie denselben Namen trägt. Werden für Sicherheit oder andere Zwecke weiterhin Daten verarbeitet, brauchen auch diese Vorgänge einen passenden Zweck, eine Rechtsgrundlage und eine transparente Erklärung.

Besonders relevant können Netzwerkeffekte und Lock-in sein. Wer Kontakte, Inhalte oder berufliche Möglichkeiten über eine Plattform aufgebaut hat, kann einen Wechsel praktisch nicht als gleichwertige Möglichkeit erleben. Solche Abhängigkeiten gehören in die fallbezogene Prüfung der freien Entscheidung.

Die Opinion gibt keinen allgemeinen Eurobetrag vor, ab dem eine Gebühr unzulässig wäre. Verantwortliche sollen im Einzelfall prüfen, ob die Gebühr die Entscheidung gegen die Einwilligung praktisch erschwert oder die Person zur Zustimmung drängt. Dabei geht es um die Wirkung des Gesamtmodells, nicht um einen isolierten Preisvergleich.

Zu berücksichtigen sind unter anderem die Bedeutung des Dienstes im Alltag, die Abhängigkeit von der Plattform, vorhandene Alternativen, Netzwerkeffekte, die bisherige kostenlose Nutzung und die Zielgruppe. Auch der Weg zur Ablehnung oder zum Widerruf zählt. Wenn Zustimmung mit einem Schritt möglich ist, die Zahlung oder Ablehnung aber zusätzliche Datenverarbeitungen und Hürden auslöst, kann das die Freiwilligkeit beeinträchtigen.

Die Rechenschaftspflicht verlangt eine nachvollziehbare Akte. Sie sollte die gewählte Preisstruktur, die geprüften Alternativen, die Auswirkungen auf verschiedene Nutzergruppen, die Informationsgestaltung und die Gründe für die Einordnung festhalten. Unternehmen setzen Preise selbst, müssen die Folgen für die freie Entscheidung aber datenschutzrechtlich verantworten.

Verhaltensbezogene Werbung darf nicht in einer Sammelzustimmung mit beliebigen weiteren Zwecken verschwinden. Personalisierung von Inhalten, Reichweitenmessung, Dienstverbesserung und Werbeprofilbildung können unterschiedliche Verarbeitungsvorgänge sein. Eine Person soll auswählen können, welchem Zweck sie zustimmt.

Vor der Entscheidung müssen Verantwortlicher, Zwecke, Datenarten und die Folgen der Varianten verständlich erklärt werden. Allgemeine Begriffe wie „kommerzielle Zwecke“ oder „Personalisierung“ beschreiben die Verarbeitung nicht ausreichend, wenn daraus Profilbildung oder Tracking folgt. Die Information muss auch Änderungen am Modell und die jeweils eingesetzte Rechtsgrundlage abbilden.

Die Oberfläche darf die Auswahl nicht durch irreführende Gestaltung verzerren. Gleich auffindbare Wege, klare Bezeichnungen und eine verständliche Gegenüberstellung unterstützen eine echte Entscheidung. Die Gestaltung ersetzt allerdings weder die rechtliche Prüfung noch die technische Kontrolle der Datenflüsse.

Art. 7 Abs. 1 DSGVO verlangt den Nachweis der Einwilligung, wenn die Verarbeitung auf ihr beruht. Bei einem Consent-or-pay-Modell sollte die Dokumentation daher erkennen lassen, welche Variante, welche Zwecke, welche Information und welcher technische Zustand zum Zeitpunkt der Entscheidung vorlagen. Art. 5 Abs. 2 DSGVO ergänzt die Verantwortung, die Einhaltung der Grundsätze nachweisen zu können.

Der Widerruf muss jederzeit möglich und so einfach wie die Erteilung sein. Er beendet die Einwilligung für die Zukunft, lässt die Rechtmäßigkeit der Verarbeitung bis zum Widerruf aber unberührt. Die Plattform sollte festhalten, wann und in welchem Umfang der Widerruf eingegangen ist und wie die betroffenen Datenflüsse darauf reagiert haben.

Die technische Umsetzung muss die gewählte Variante tatsächlich abbilden. Ein Eintrag in der Oberfläche genügt nicht, wenn Tracking, Profilbildung oder Weitergaben weiterlaufen. Für die allgemeine Struktur von Protokoll, Widerruf und Sperre ist der Beitrag zum Cookie-Consent-Management die passende Ergänzung. Der CRM-Werbewiderspruch betrifft dagegen die spätere Ansprache und nicht die vorgelagerte Freiwilligkeit des Plattformmodells.

Für eine konkrete Prüfung sind die Varianten des Zugangs, die Preisstruktur, die Nutzerinformation, die Zweck- und Datenflussbeschreibung, die technische Konfiguration, Auswertungen zur Nutzung und die interne Einzelfallbewertung hilfreich. Wir ordnen diese Unterlagen den Anforderungen an freiwillige Einwilligung, Transparenz, Granularität und Rechenschaft zu. Senden Sie uns die vorhandenen Dokumente, damit die nächsten Schritte für Ihre Plattform festgelegt werden können.