Richtlinie zum Einwilligungs- und Präferenzmanagement

Die Richtlinie zum Einwilligungs- und Präferenzmanagement definiert verbindliche Anforderungen zur Bestimmung, wann Einwilligung erforderlich ist, zur Anforderung von Einwilligung, zur Erfassung von Einwilligungsnachweisen, zum Präferenzmanagement, zur Verarbeitung von Widerrufen, zur Pflege von Einwilligungsaufzeichnungen und zur Überprüfung von Einwilligungsmechanismen. Sie gilt für die PII-Verarbeitung, wenn Einwilligung als Rechtsgrundlage ausgewählt oder vorgeschrieben ist, wenn ausdrückliche Einwilligung erforderlich ist, wenn Einwilligungspräferenzen erfasst werden oder wenn die Organisation Einwilligungsaufzeichnungen im Auftrag eines Verantwortlichen verwaltet. Die Richtlinie deckt Kontexte als Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter und Unterauftragsverarbeiter ab und stellt klar, dass Verpflichtungen von Auftragsverarbeitern und Unterauftragsverarbeitern nur gelten, wenn Einwilligungsaufzeichnungen, Präferenzzustände oder Anweisungen zum Widerruf gemäß dokumentierten Weisungen des Verantwortlichen oder Kundenweisungen verwaltet werden. Ein zentrales Prinzip der Richtlinie ist, dass Einwilligung nicht die standardmäßige Rechtsgrundlage für die PII-Verarbeitung ist. Bevor eine neue oder wesentlich geänderte Verarbeitungstätigkeit auf Einwilligung gestützt wird, muss der Prozessverantwortliche oder Geschäftsinhaber in REG02 aufzeichnen, ob Einwilligung erforderlich oder ausgewählt ist. Der Privacy Lead oder PIMS-Manager muss in REG02 und REG05 überprüfen, dass Einwilligung nicht standardmäßig ausgewählt wurde. Wenn die Verarbeitung besondere Kategorien von PII, an Kinder gerichtete Dienste, risikoreiche Verarbeitung oder ein Ungleichgewicht zwischen der Organisation und der betroffenen Person umfasst, muss der Datenschutzbeauftragte oder Datenschutzberater die Einwilligungsgrundlage vor der Produktivsetzung in REG04 prüfen. Bei Tätigkeiten als gemeinsam Verantwortlicher muss die Verantwortung für das Einholen, Aufzeichnen, Erneuern und Beachten der Einwilligung dokumentiert werden, bevor die Verarbeitung beginnt. Die Richtlinie legt detaillierte betriebliche Anforderungen für Einwilligungsanfragen und deren Erfassung fest. Einwilligungsanfragen müssen zweckspezifisch sein und vor der Präsentation gegenüber einer betroffenen Person mit der anwendbaren REG07-Version des Datenschutzhinweises verknüpft werden. Systeme müssen eine bestätigende Handlung verlangen, wenn ausdrückliche oder Opt-in-Einwilligung erforderlich ist, und müssen verhindern, dass eine auf Einwilligung gestützte Verarbeitung fortgesetzt wird, sofern REG05 keinen aktiven Einwilligungsstatus für den relevanten Zweck zeigt. REG05 muss die Referenz der betroffenen Person, den Zweck, die PII-Kategorie, den Einwilligungswortlaut oder die Version, die Version des Datenschutzhinweises, den Erhebungskanal, den Zeitstempel, die Methode, den Status und die anwendbare Gültigkeitsdauer erfassen. Wenn an Kinder gerichtete Einwilligung oder ausdrückliche Einwilligung gilt, werden zusätzliche Logik-, Kennzeichnungs- und Prüfanforderungen ausgelöst. Das Präferenz- und Widerrufsmanagement wird ebenfalls über REG05 und, soweit anwendbar, REG08 gesteuert. Ein Mechanismus für Widerrufe oder Präferenzänderungen muss spätestens zu dem Zeitpunkt verfügbar sein, zu dem die Einwilligung angefordert wird. Widerrufe und Präferenzänderungen müssen innerhalb von fünf Geschäftstagen nach Eingang oder innerhalb einer für die Verarbeitungstätigkeit kürzeren definierten Frist aufgezeichnet werden. Betroffene Systeme, Unterdrückungszustände oder Präferenzkennzeichen müssen aktualisiert werden, bevor die weitere Verarbeitung für einen widerrufenen oder eingeschränkten Zweck fortgesetzt wird. Auftragsverarbeiter müssen Kundenweisungen innerhalb der vom Kunden definierten Frist weiterleiten oder umsetzen, und Unterauftragsverarbeiter müssen über REG08 anhand vertraglicher oder angewiesener Fristen verifiziert werden. Die Richtlinie behandelt außerdem Änderungssteuerung, Schutz von Aufzeichnungen, Governance, Umsetzung, Kennzahlen, Ausnahmen, Durchsetzung und Pflege. Einwilligung muss neu bewertet werden, bevor die Verarbeitung fortgesetzt wird, wenn sich Zweck, PII-Kategorien, Identität des Verantwortlichen, Wortlaut des Datenschutzhinweises, Aufbewahrung, Empfängerkategorie oder Verarbeitungsmethode wesentlich ändern. Einwilligungswortlaut, Konfiguration des Einwilligungsmechanismus, Verweise auf Datenschutzhinweise und Schemata für Einwilligungsaufzeichnungen müssen versioniert werden. REG05-Aufzeichnungen müssen gegen unbefugte Änderung geschützt werden, und Prüfpfadnachweise müssen aufbewahrt werden. Kennzahlen umfassen vierteljährliche Verknüpfungsprüfungen zwischen REG05, REG02 und REG07, monatliche Messung des Abschlusses von Widerrufen, sofern einwilligungsbasierte Verarbeitung aktiv ist, sowie Auditberichterstattung in REG12. Ausnahmen müssen vor der Umsetzung genehmigt werden, und Nichtkonformitäten im Zusammenhang mit fehlenden, ungültigen, nicht verknüpften oder unzuverlässigen Einwilligungsnachweisen müssen innerhalb von fünf Geschäftstagen aufgezeichnet werden.