- Die österreichische Datenschutzbehörde entschied am 9. Oktober 2019, dass nach Art. 32 DSGVO ein Double‑Opt‑In für Online‑Dating‑Registrierungen zwingend sei.
- Die Plattform erlaubte eingeschränkte Nutzung ohne bestätigtes Double‑Opt‑In, mit wiederholten Aufforderungen alle 3 – 5 Minuten.
- Unbekannte erstellten Profile mit der E‑Mail eines Minderjährigen; DSB stellte mangelhafte Datensicherheitsmaßnahmen nach Art. 32 DSGVO fest.
- Die DSB klärte nicht abschliessend, unter welchen Umständen Double‑Opt‑In generell erforderlich ist (Werbung vs. Dienst/Vertragssituation).
Die österreichische Datenschutzbehörde (DSB) hat mit Entscheid vom 9. Oktober 2019 (DSB-D130.073/0008-DSB/2019) festgestellt, dass nach Art. 32 DSGVO (Datensicherheit) ein Double-Opt-In-Verfahren für Registrierungen auf einer Online-Dating-Plattform zwingend ist.
Die Registrierung und eine eingeschränkte Nutzung der Plattform war ohne Double-Opt-In möglich:
Es ist korrekt, dass der User sich nach der Registrierung und der expliziten Bestätigung seines Alters und seines Wohnortes und der Aufforderung, seine DoubleOptIn E‑Mail zu bestätigen, das Portal eingeschränkt nutzen kann.
Die Aufforderung, seine DoubleOptIn E‑Mail zu bestätigen, kommt im regelmäßigen Rhythmus (alle 3 – 5 Minuten) innerhalb des Portals, solange der User diese nicht bestätigt hat.
Vorliegend hatte eine unbekannte Person die E‑Mail-Adresse des minderjährigen Beschwerdeführers zur Erstellung von zwei Profilen auf den Onlinedating-Portalen der Beschwerdegegnerin verwendet, was eine unrechtmässige Datenbearbeitung darstellt. Die DSB kommt vor diesem Hintergrund zum folgenden Ergebnis:
Dadurch, dass die Beschwerdegegnerin keine ausreichenden, Art. 32 DSGVO entsprechenden Datensicherheitsmaßnahmen gesetzt hat, war es möglich, dass personenbezogene Daten des Beschwerdeführers – nämlich die E‑Mail-Adresse ***@***.com – unrechtmäßig verarbeitet wurden, was den Beschwerdeführer in seinem Grundrecht auf Geheimhaltung nach § 1 Abs. 1 DSG verletzte.
Die DSB setzt sich allerdings nicht mit der Frage auseinander, ob, weshalb und unter welchen Umständen ein Double-Opt-In-Verfahren nach den Kriterien von Art. 32 Abs. 1 DSGVO verpflichtend ist. Auch ist offen, ob ein Double-Opt-In-Verfahren auch dann erforderlich ist,
- wenn ohne Bestätigung der Registrierung anders als hier keine Werbung versandt wird, sondern nur ein Dienst genutzt werden kann; und
- wenn die Registrierung nicht als Einwilligung gilt, sondern bspw. im Rahmen eines Vertrags i.S.v. Art. 6 Abs. 1 lit. b DSGVO erforderlich ist, z.B. bei einem Online-Einkauf.
Vgl. dazu auch den Beitrag von Carlo Piltz zum Entscheid.