Home
OGH: Zur Intransparenz von Datenschutzerklärungen
Datenschutzerklärungen unterliegen der Klauselkontrolle, wenn sie als Vertragsbestimmungen anzusehen sind, dh Vertragserklärungscharakter (Rechtsfolgewille) haben, und nicht als bloße Hinweise rein der Informationserteilung dienen
Gesetze: § 6 KSchG, § 19 KSchG, § 29 KSchG, Art 13 DSGVO, Art 15 DSGVO
Schlagworte: Konsumentenschutzrecht, Datenschutzrecht, Allgemeine Geschäftsbedingungen, AGB, Transparenz, Datenschutzerklärung, Datenverarbeitung, Weitergabe, Speicherung
GZ 7 Ob 112/22d, 23.11.2022
OGH: Das Unionsrecht in Gestalt der DSGVO steht der Klagebefugnis eines nach § 29 KSchG klagebefugten Vereins nicht entgegen. Datenschutzerklärungen unterliegen dann der Klauselkontrolle, wenn sie als Vertragsbestimmungen anzusehen sind, dh Vertragserklärungscharakter (Rechtsfolgewille) haben, und nicht als bloße Hinweise rein der Informationserteilung iSd Art 13 f DSGVO dienen.
Beim Datenschutzhinweis der Beklagten handelt es sich hier um kein bloßes Informationsdokument ohne Rechtsfolgewillen: Der Umstand, dass der Datenschutzhinweis nicht Teil der Allgemeinen Versicherungsbedingungen, sondern ein eigenes Formblatt ist, spricht nicht gegen dessen Vertragserklärungscharakter, vielmehr kommt es auf die Vertragsgestaltung an. Hier muss der Verbraucher dem Datenschutzhinweis zwar nicht „zustimmen“, allerdings muss er im Versicherungsantrag bestätigen, den Datenschutzhinweis „zur Kenntnis“ genommen zu haben. Dies macht aber keinen relevanten Unterschied, weil die Zurkenntnisnahme auch die Zustimmung zu dessen Inhalt implizieren kann.
Willigt der Verbraucher bei kundenfeindlichster Interpretation der Klausel in die Verwendung seiner Daten und auch jener von Dritten in „jenem Ausmaß, als dies zur ordnungsgemäßen Begründung und Abwicklung unseres Versicherungsverhältnisses mit Ihnen notwendig ist“ ein, so lässt dies offen, welche Daten die Beklagte in welchem Umfang zu verwenden berechtigt wird, sodass die Klausel schon aus diesem Grund intransparent iSd § 6 Abs 3 KSchG ist.
Auch eine Datenübermittlung an „Konzerngesellschaften“ ist nach der Rsp nicht ausreichend präzise. Gleiches gilt, wenn - wie hier - die empfangenden Gesellschaften als „Versicherungsgruppe“ umschrieben werden. Überhaupt ist eine Klausel, die eine Datenweitergabe vorsieht, nur zulässig, wenn der Betroffene weiß, wer welche Daten zu welchem Zweck erhält, was hier völlig offenbleibt.
Ferner ist eine Klausel, aus der zunächst zunächst nicht ersichtlich ist, welche Daten für welche Zwecke und für welche Zeiträume aufbewahrt werden, unzulässig: Sie stellt die Rechtslage unklar dar, weil der Verbraucher nicht darüber informiert wird, dass er die Einwilligung nach der DSGVO jederzeit widerrufen kann; die Klausel ist daher unzulässig.
