通过数据保护信息同意？

fabiha01

奥格斯堡地区法院驳回了因向信贷机构非法传输数据而提出的损害赔偿请求，理由是原告在签订合同时已同意传输数据（奥格斯堡地区法院，2024 年 7 月 5 日最终判决 - 041 O 3703/23）。尽管事实上没有获得同意，而且被告也没有依赖这种同意，但情况仍然如此。

法院通过声明在签订合同时提供的数据保护信息得出了这一结论，其中提到根据第 14 条的规定，将数据传输给 SCHUFA 以进行信用和身份检查。 6（1）（f） GDPR，即表示同意。

这种相当“自由”的法律决定是由《第 14 条》中同意的定义所证明的。 GDPR 第 4 条第 11 款。判决书（第 20 段及后续段落）对此进行了如下陈述（GDPR 的拼写以及第 14 条和第 15 条的信息均保持不变）。

（…）

然而，数据保护信息表的第 9 部分指出：

“为此目的，我们通常会将签订合同时提供的个人数据传输（姓名、地址、出生日期和地点、电子邮件地址爱尔兰商业传真列表 、银行详细信息）给上述一个或多个信用机构，以进行信用检查和身份验证（GDPR 第 6（1）（f）条）。”

“创建服务账户（SCHUFA）

为了保护市场参与者免受违约和风险的影响，如果合同具有足够的相关性，我们会将与电信合同的申请、启动和终止相关的个人数据（姓名、地址、出生日期、有关签订本电信合同的信息、对合同的引用）传输给 SCHUFA（GDPR 第 6（1）（f）条）。”

为了可靠地评估信用状况，尽可能全面地了解现有财务义务至关重要。将电信行业的合同关系存储在 SCHUFA 中有助于实现这一点。如果您不希望将数据传输给 SCHUFA，请致函……

这意味着原告在与被告签订合同时同意将电信合同签订情况和服务账户数据报告给 SCHUFA。根据 GDPR 第 4 条第 11 款规定，数据主体的“同意”是指数据主体以声明或明确的肯定行动，自由给出的、具体的、知情的和明确的意愿表示，表示同意处理与其有关的个人数据。这正是本案所发生的情况。

这意味着原告提出的所有主要诉讼请求均被排除。

判决评估
该判决并未涉及《条例》规定的同意要求。 7 GDPR。据我们理解，迄今为止已达成一致，即数据保护法下的同意必须从其他信息中清晰、全面地凸显出来，并且必须通过同意方的主动行动来确认，该行动表达了同意数据处理的明确意愿（GDPR 第 7（2）条第 1 句）。这里没有满足任何这些要求。这是否也违反了同意所要求的自愿性，因为这样的程序违反了《条例》规定的链接禁令。 7（4）GDPR，也是一个仍需在此澄清的问题。

奥格斯堡地区法院的判决完全无视这些同意条件，这似乎令人费解，因此它很可能是一个经不起推敲的“异常判决”，在任何情况下都不应被用作获得同意的典范。