Dienste zur Einwilligungsverwaltung nach § 26 TDDDG

§ 26 TDDDG in Verbindung mit der EinwV bestimmt, dass die BfDI als unabhängige Stelle Dienste anerkennen kann, die unter anderem nutzerfreundliche und wettbewerbskonforme Verfahren bereitstellen, um die nach § 25 Abs. 1 TDDDG erforderliche Einwilligung von Endnutzern zu verwalten.

Antrag auf Anerkennung

Nach § 10 EinwV wird ein Dienst zur Einwilligungsverwaltung auf Antrag anerkannt, wenn er die Anforderungen des Teils 2 der EinwV erfüllt und ein Sicherheitskonzept nach § 12 EinwV vorlegt. Weitere Anforderungen, was dem Antrag beigefügt werden muss, ergeben sich aus § 11 EinwV.

Folgende Angaben sind für den Antrag notwendig:

Formelle Angaben nach § 11 Abs. 3 EinwV

• Name
• Rechtsstatus, bei juristischen Personen Rechtsform
• Vertretungsberechtigte/r
• Angabe zu Handelsregister oder vergleichbarem Register und die dazugehörige Registernummer (sofern vorhanden)
• Anschrift oder Anschrift seiner Niederlassung oder der Hauptniederlassung innerhalb der EU
• Angaben zur elektronischen Abrufbarkeit von Informationen über ihn und seine Tätigkeiten
• Telefonnummer
• E-Mail-Adresse
• Falls Auftragsverarbeiter eingesetzt werden, auch Informationen zu diesen
• Erklärung, dass er personenbezogene Daten der den Dienst nutzenden Endnutzer und die Einstellungen der Endnutzer für keine anderen Zwecke als für die Einwilligungsverwaltung verarbeitet.
• Informationen zu abgeschlossenen oder laufenden Beteiligungen, Stellungnahmen und Verfügungen der zuständigen Datenschutzaufsichtsbehörden, soweit erfolgt.

Nach § 11 Abs. 2 EinwV muss der Antrag eine dokumentierte Beschreibung und Erläuterung des Dienstes zur Einwilligungsverwaltung enthalten. Diese Beschreibung ermöglicht der BfDI eine Prüfung des Vorliegens der in §§ 3 bis 7 EinwV geregelten Anforderungen. Folgende materielle Angaben sind dem Antrag zur Beschreibung des Dienstes hinzuzufügen und mit passenden Unterlagen (Schaubilder, Ablaufdiagramme und Screenshots) zu belegen:

Allgemeine Anforderungen (§ 3 EinwV)

Nach § 3 Abs. 2 EinwV verwaltet der Dienst nur solche Einwilligungen, bei denen der Anbieter von digitalen Diensten den Endnutzer vor Erteilung der Einwilligung mindestens in Kenntnis gesetzt hat über

• Den oder die Anbieter von digitalen Diensten (Nr. 1)
• Die konkreten Informationen, auf die zugegriffen werden soll (Nr. 2)
• Die Zwecke, zu denen auf die Informationen zugegriffen werden soll (Nr. 3)
• Die Zeiträume, in denen auf die Informationen zugegriffen werden soll (Nr. 4)
• Die jederzeitige Widerruflichkeit der Einwilligung (Nr. 5)

Nutzerfreundliches Verfahren (§ 4 EinwV)

• Die Benutzeroberfläche ist transparent und verständlich
• Es wird eine freie und informierte Entscheidung ermöglicht
• Einstellungen können jederzeit vom Endnutzer eingesehen werden
• Einstellungen können jederzeit geändert und ggf. widerrufen werden
• Aufforderung zur Überprüfung frühestens nach einem Jahr

Wechselmöglichkeit (§ 5 EinwV)

Daten müssen in einer Form bereitgehalten werden, dass der Endnutzer jederzeit und einfach zu einem anderen anerkannten Dienst der Einwilligungsverwaltung wechseln kann.

Wettbewerbskonformes Verfahren (§ 6 EinwV)

• Jeder Anbieter von digitalen Diensten kann Daten vom Dienst zur Einwilligungsverwaltung unter den gleichen Bedingungen erfragen
• In den Voreinstellungen der Benutzerschnittstelle des Dienstes zur Einwilligungverwaltung sind die Anbieter von digitalen Diensten in einheitlicher Form und übersichtlich darzustellen

Technologie für das Zusammenwirken mit Abruf- und Darstellungssoftware (§ 7 EinwV)

Es müssen solche Technologien und Konfigurationen verwendet werden, dass die Informationen über die Endnutzer, die diese dem Dienst zur Einwilligungsverwaltung gegeben haben, auch in richtiger Form bei den Anbietern von digitalen Diensten ankommen.

Wirtschaftliche Unabhängigkeit (§ 11 Abs. 3 Nr. 6 EinwV)

Nach § 11 Abs. 3 Nr. 6 EinwV müssen auch Angaben zur wirtschaftlichen und organisatorischen Struktur einschließlich Angaben zur Finanzierung gemacht werden. Daraus muss sich ergeben, dass kein wirtschaftliches Eigeninteresse an der Einwilligung der Endnutzer und an den verwalteten Daten besteht und es eine rechtliche und organisatorische Unabhängigkeit von Unternehmen gibt, die ein solches Interesse haben könnten.

Hinweis für die Antragstellung: Bitte ergänzen Sie Ihre Darstellung durch ein Organigramm, welches die Beteiligungsverhältnisse erkennen lässt.

Sicherheitskonzept nach § 12 EinwV

Darzustellen und zu erläutern sind:

• Sicherheit der personenbezogenen Daten und der Einstellungen der Endnutzer (Nr. 1)
• Speicherort der personenbezogenen Daten und der Einstellungen der Endnutzer (Nr. 2)
• Technische und organisatorische Maßnahmen, mit denen sichergestellt wird, dass die Informationen ausschließlich für den Dienst zur Einwilligungsverwaltung verwendet werden (Nr. 3)
• Technische und organisatorische Maßnahmen, die vor unbefugtem Zugriff auf personenbezogene Daten schützen (Nr. 4)
• Technische und organisatorische Maßnahmen, die die erforderliche Verfügbarkeit und den Zugang zu den Daten gewährleisten (Nr. 4)
• Risikokonzept (Nr. 5)

Was wird von der Anerkennung umfasst?

Die Anerkennung durch die BfDI bezieht sich darauf, dass zum Zeitpunkt der Anerkennung ein „Dienst zur Einwilligungsverwaltung“ gemäß § 2 Abs. 1 Nr. 1 EinwV die Anforderungen der §§ 3 bis 7 EinwV erfüllt und ein Sicherheitskonzept nach § 12 EinwV vorgelegt hat.

Der „anerkannte Dienst zur Einwilligungsverwaltung“ (siehe § 2 Abs. 1 Nr. 2 EinwV) wird in ein öffentliches Register nach § 13 EinwV bei der BfDI eingetragen.

Gebühren

Für die Bearbeitung fallen nach § 1 Abs. 1 Nr. 7 Besondere Gebührenverordnung des Bundesministeriums für telekommunikationsrechtliche Tätigkeiten (Besondere Gebührenverordnung Telekommunikation BMDVTKBGebV) Gebühren an. Die Höhe der Gebühr richtet sich gemäß § 2 BMDVTKBGebV i.V.m. Anlage zu § 2 Abs. 1 Abschnitt 2 (TDDDG) Nr. 5 nach dem Zeitaufwand. Nach § 5 BMDVTKBGebV gelten die Stundensätze nach Anlage 1 Teil A Abschnitt 1 Nr. 1 der Allgemeinen Gebührenverordnung.

Anzeige von Änderungen (§ 14 EinwV) und möglicher Widerruf der Anerkennung (§ 16 EinwV)

Der Anbieter eines anerkannten Dienstes zur Einwilligungsverwaltung hat jährlich zu prüfen, ob die Anforderungen nach Teil 2 (§§ 3 bis 7 EinwV) weiterhin erfüllt sind. Entsprechende Änderungen sind nach § 14 Abs. 2 EinwV der BfDI unverzüglich anzuzeigen.

Die BfDI hat die Anerkennung nach § 16 EinwV zu widerrufen, wenn sie Kenntnis von Tatsachen erhält, denen zufolge die Voraussetzungen für die Anerkennung nicht mehr erfüllt sind.

Register

Hier werden Sie zukünftig das Register nach § 13 EinwV  finden. Bislang liegen der BfDI noch keine Anträge auf Anerkennung vor.