Einwilligungsnachweise sind keine zusätzliche Sammlung möglichst vieler personenbezogener Daten. Sie sollen nachvollziehbar machen, welche Entscheidung eine Person zu welchem konkret beschriebenen Zweck getroffen hat und wie spätere Änderungen verarbeitet wurden.
Dieser Beitrag beschreibt die Organisation eines Ablaufs für einen Betrieb in Deutschland. Ob eine konkrete Erklärung, Ausnahme oder Aufbewahrungsdauer rechtlich geeignet ist, muss anhand des tatsächlichen Falls beurteilt werden. Eine Softwarefunktion allein ersetzt diese Prüfung nicht.
Den Zweck des Nachweises festlegen
Bei einer auf Einwilligung gestützten Verarbeitung verlangt Artikel 7 der Datenschutz-Grundverordnung, dass die Einwilligung nachgewiesen werden kann. Für den Versand von E-Mail-Werbung sind außerdem die Voraussetzungen des § 7 UWG zu beachten. Datenschutz und Werberecht beantworten dabei nicht einfach dieselbe Frage.
Für die Organisation bedeutet das: Eine Adresse mit dem internen Etikett „aktiv“ erklärt noch nicht, wie sie diesen Zustand erreicht hat. Benötigt wird ein nachvollziehbarer Bezug zwischen Person beziehungsweise Adresse, beschriebenem Zweck und Ereignis. Welche zusätzlichen technischen Angaben erforderlich und zulässig sind, sollte begründet festgelegt werden.
Vermeiden Sie vorsorgliches Sammeln ohne konkreten Zweck. Eine umfangreiche Historie ist nicht automatisch ein besserer Nachweis. Zugriff, Schutz und Löschkonzept müssen zur tatsächlich benötigten Dokumentation passen.
Die Erklärung versionieren
Speichern Sie die verwendete Anmeldeformulierung mit einer Versionskennung und dem Zeitraum ihrer Verwendung. Dazu gehört der Kontext, soweit er die Entscheidung beeinflusst: etwa bezeichnete Themen, Absender und angekündigte Nachrichtenart.
Wenn sich der Text ändert, überschreiben Sie die alte Fassung nicht einfach. Später muss erkennbar bleiben, welche Version bei einer bestimmten Anmeldung galt. Eine Bildschirmkopie kann ergänzen, ersetzt aber nicht unbedingt die strukturierten Informationen, die für eine Suche benötigt werden.
Ein Beispiel für eine interne Zuordnung wäre: Datensatznummer, Formularversion, Ereignisdatum und Status. Das ist ein Organisationsbeispiel, keine vollständige juristische Pflichtfeldliste. Legen Sie die tatsächlich benötigten Felder mit den für Datenschutz und Technik zuständigen Personen fest.
Ereignisse nicht nachträglich erfinden
Unterscheiden Sie Anmeldung, gegebenenfalls Bestätigung, Änderung einer Präferenz und Abmeldung. Wenn eine Bestätigung vorgesehen ist, sollte ein unbestätigter Datensatz nicht durch einen späteren Import automatisch aktiv werden.
Bei übernommenen Listen ist besonders wichtig, die Herkunft zu prüfen. Eine Datei mit Adressen und einem pauschalen Vermerk „Einwilligung vorhanden“ kann für die eigene Bewertung unzureichend sein. Fehlende Nachweise lassen sich nicht durch ein neues Datum oder eine selbst vergebene Kennzeichnung herstellen.
Dokumentieren Sie auch Fehler und Korrekturen. Wenn eine Zuordnung versehentlich falsch war, sollte eine nachvollziehbare Korrektur möglich sein. Vermeiden Sie unkontrollierte direkte Änderungen an produktiven Listen, deren Folgen für laufende Automationen niemand überblickt.
Widerruf und Sperrung zusammen denken
Ein Abmeldeereignis muss die künftige Empfängerauswahl zuverlässig beeinflussen. Prüfen Sie Hauptlisten, Teilgruppen, geplante Sendungen und Automationen. Eine Abmeldung, die nur in einer Oberfläche sichtbar wird, aber beim nächsten Import verloren geht, erfüllt die organisatorische Aufgabe nicht.
Gleichzeitig ist die Frage, welche begrenzten Informationen zur Verhinderung erneuter Zusendung oder für Nachweiszwecke weiter benötigt werden, von einer aktiven Werbeliste zu unterscheiden. Legen Sie Zugriff und Dauer begründet fest und lassen Sie den rechtlichen Rahmen prüfen. Löschen und Sperren sind keine austauschbaren technischen Befehle.
Abruf und Zuständigkeit testen
Wählen Sie einen eigenen Testdatensatz und versuchen Sie, dessen Weg vollständig nachzuvollziehen. Können Sie die damals sichtbare Erklärung finden? Ist der Statuswechsel erkennbar? Bleibt eine Abmeldung nach Export und erneutem Import erhalten?
Legen Sie fest, wer solche Fragen beantworten darf. Nicht alle Mitarbeitenden benötigen Zugriff auf vollständige Nachweise. Eine kleine, geschützte Zuständigkeit kann klarer sein als eine frei zugängliche Tabelle mit umfangreichen personenbezogenen Daten.
Prüfen Sie den Ablauf bei Formularänderungen, Anbieterwechseln und neuen Automationen erneut. Die Dokumentation ist nur dann brauchbar, wenn sie den tatsächlich eingesetzten Prozess beschreibt. Ein einmal erstelltes Konzept, das spätere Änderungen nicht mitnimmt, kann eine falsche Sicherheit erzeugen.
Ein Prüfbeispiel mit drei Zuständen
Nehmen wir drei ausschließlich zu Testzwecken angelegte Datensätze: Einer wurde bestätigt, einer wartet auf Bestätigung und einer wurde nach einer früheren Bestätigung abgemeldet. Alle drei können dieselbe Formularversion besitzen. Trotzdem dürfen sie bei einer vorgesehenen Kampagne nicht gleich behandelt werden.
Erstellen Sie zunächst eine Empfängerauswahl, ohne tatsächlich zu versenden. Prüfen Sie, ob nur der passende aktive Testkontakt enthalten ist. Exportieren Sie anschließend die Daten und untersuchen Sie, ob die Unterschiede lesbar erhalten bleiben. Ein Feld mit einem leeren Wert kann im Zielsystem etwas anderes bedeuten als im Ausgangssystem; diese Bedeutung muss vor einem Import geklärt sein.
Lassen Sie eine zweite zuständige Person den Nachweis für einen der Datensätze finden. Wenn dafür mündliche Erklärungen des ursprünglichen Einrichters nötig sind, fehlt vermutlich eine wichtige Zuordnung. Ergänzen Sie die Dokumentation am konkreten Problem, statt pauschal mehr Daten zu sammeln.
Der Test zeigt organisatorische Funktionsfähigkeit unter den verwendeten Bedingungen. Er bestätigt nicht automatisch die rechtliche Eignung jeder Formulierung. Halten Sie technische Prüfung und rechtliche Bewertung deshalb als getrennte Aufgaben mit jeweils nachvollziehbarem Ergebnis fest.
