Teil 3 - Einwilligungsverwaltungsverordnung (EinwV)

Artikel 1 V. v. 06.02.2025 BGBl. 2025 I Nr. 32
Geltung ab 01.04.2025; FNA: 204-5-1 Datenschutz

Teil 3 Anerkennung von Diensten zur Einwilligungsverwaltung

§ 8 Zuständige Stelle

Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist die unabhängige Stelle, die für die Anerkennung von Diensten zur Einwilligungsverwaltung zuständig ist.

§ 9 Informationsaustausch mit zuständigen Aufsichtsbehörden der Länder

(1) Die zuständige Stelle informiert die zuständigen Aufsichtsbehörden der Länder nach § 40 Absatz 1 des Bundesdatenschutzgesetzes elektronisch über die Anerkennung eines Dienstes zur Einwilligungsverwaltung.

(2) ¹Befindet die zuständige Aufsichtsbehörde eines Landes im Rahmen ihrer Zuständigkeit, dass ein Anbieter von digitalen Diensten das Vorliegen einer wirksamen Einwilligung nach § 25 Absatz 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes aufgrund von Mängeln des eingebundenen anerkannten Dienstes zur Einwilligungsverwaltung nicht nachweisen kann, so teilt sie dies der zuständigen Stelle elektronisch mit. ²Zu diesem Zweck tauschen die Aufsichtsbehörde des Landes und die zuständige Stelle untereinander alle zweckdienlichen Informationen aus.

§ 10 Anerkennungsvoraussetzungen

Ein Dienst zur Einwilligungsverwaltung wird auf Antrag anerkannt, wenn er

1. die Anforderungen des Teils 2 erfüllt und

2. ein Sicherheitskonzept nach § 12 vorgelegt hat.

§ 11 Antragstellung

(1) Der Antrag auf Anerkennung eines Dienstes zur Einwilligungsverwaltung ist elektronisch bei der zuständigen Stelle zu stellen.

(2) Der Antrag muss eine dokumentierte Beschreibung des Dienstes zur Einwilligungsverwaltung enthalten, die der zuständigen Stelle eine Prüfung des Vorliegens der in Teil 2 geregelten Anforderungen ermöglicht.

(3) ¹Der Antrag muss folgende Angaben zum Anbieter des Dienstes zur Einwilligungsverwaltung enthalten:

1. seinen Namen,

2. seinen Rechtsstatus, bei juristischen Personen zusätzlich die Rechtsform und den Vertretungsberechtigten, sowie Angaben über das Register, sofern der Antragssteller im Handelsregister oder in einem dem Handelsregister vergleichbaren Register eingetragen ist, und die dazugehörige Registernummer,

3. seine Anschrift oder die Anschrift seiner Niederlassung oder der Hauptniederlassung nach Artikel 4 Nummer 16 der Verordnung (EU) 2016/679 innerhalb der Europäischen Union,

4. Angaben zur elektronischen Abrufbarkeit von Informationen über ihn und seine Tätigkeiten,

5. seine Telefonnummer und seine E-Mail-Adresse oder andere vorhandene von ihm zur Verfügung gestellte Online-Kommunikationsmittel, sofern diese gewährleisten, dass der Endnutzer seine Korrespondenz mit ihm, einschließlich Datum und Uhrzeit der Korrespondenz, auf einem dauerhaften Datenträger speichern kann,

6. Angaben zu seiner wirtschaftlichen und organisatorischen Struktur einschließlich Angaben zu seiner Finanzierung sowie Angaben, aus denen sich ergibt, dass er

a) kein wirtschaftliches Eigeninteresse an der Einwilligung der Endnutzer und an den verwalteten Daten hat und

b) rechtlich und organisatorisch unabhängig von Unternehmen ist, die ein solches Interesse haben können.

²Bedient sich der Anbieter eines Dienstes zur Einwilligungsverwaltung Auftragsverarbeitern nach Artikel 28 der Verordnung (EU) 2016/679, so muss der Antrag die Angaben nach Satz 1 Nummer 1 bis 6 entsprechend für diese Auftragsverarbeiter enthalten.

(4) Dem Antrag sind beizufügen:

1. die Erklärung des Anbieters des Dienstes zur Einwilligungsverwaltung, dass er personenbezogene Daten der den Dienst nutzenden Endnutzer und die Einstellungen der Endnutzer für keine anderen Zwecke als für die Einwilligungsverwaltung verarbeitet,

2. ein Sicherheitskonzept nach § 12 und

3. Informationen zu abgeschlossenen oder laufenden Beteiligungen, Stellungnahmen und Verfügungen der zuständigen Datenschutzaufsichtsbehörden, soweit diese erfolgt sind.

(5) ¹Die zuständige Stelle kann eine Vorlage für die Antragstellung erstellen. ²Sie hat die Vorlage zu veröffentlichen oder allen Anbietern von Diensten zur Einwilligungsverwaltung in sonstiger geeigneter Weise zur Verfügung zu stellen.

§ 12 Sicherheitskonzept

Das nach § 26 Absatz 1 Nummer 4 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes erforderliche Sicherheitskonzept muss Angaben enthalten

1. zur Sicherheit der personenbezogenen Daten und der Einstellungen der Endnutzer, die von dem Dienst zur Einwilligungsverwaltung verwaltet werden,

2. zum Speicherort der personenbezogenen Daten und der Einstellungen der Endnutzer,

3. zu den technischen und organisatorischen Maßnahmen, mit denen sichergestellt wird, dass personenbezogene Daten und die Einstellungen der Endnutzer ausschließlich für die Funktionen des Dienstes zur Einwilligungsverwaltung verarbeitet werden,

4. zu den erforderlichen technischen und organisatorischen Maßnahmen, die getroffen werden,

a) um personenbezogene Daten vor unbefugten Zugriffen zu schützen und

b) um die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen zu gewährleisten, und

5. zu den technischen und organisatorischen Maßnahmen, mit denen Risiken für die Integrität, Vertraulichkeit und Verfügbarkeit des angebotenen Dienstes erkannt und so weit wie möglich minimiert werden können.

§ 13 Register der anerkannten Dienste zur Einwilligungsverwaltung

Die zuständige Stelle führt ein öffentliches Register der anerkannten Dienste zur Einwilligungsverwaltung.

§ 14 Anzeige von Änderungen

(1) ¹Der Anbieter eines anerkannten Dienstes zur Einwilligungsverwaltung hat jährlich zu prüfen, ob die Anforderungen nach Teil 2 weiterhin erfüllt sind und ob sich Tatsachen, die den Angaben bei Antragsstellung zugrunde lagen, geändert haben. ²Die zuständige Stelle kann den Anbieter auffordern, zusätzliche Prüfungen durchzuführen. ³Sie kann Fristen setzen, innerhalb derer die zusätzlichen Prüfungen jeweils durchzuführen sind.

(2) ¹Änderungen, die sich auf die Anforderungen nach Teil 2 beziehen, sind der zuständigen Stelle unverzüglich elektronisch anzuzeigen. ²Aktualisierungen und Änderungen von Tatsachen, die den Angaben bei der Antragstellung zugrunde lagen, sind der zuständigen Stelle ebenfalls unverzüglich elektronisch anzuzeigen.

§ 15 Meldung von Beschwerden

(1) Dritte können der zuständigen Stelle Hinweise auf und Beschwerden über mögliche Verstöße des anerkannten Dienstes zur Einwilligungsverwaltung gegen die Anforderungen nach Teil 2 elektronisch melden.

(2) Die zuständige Stelle kann eine Stelle zum Empfang der Meldungen einrichten.

§ 16 Widerruf der Anerkennung

¹Die zuständige Stelle hat die Anerkennung eines anerkannten Dienstes zur Einwilligungsverwaltung zu widerrufen, wenn sie Kenntnis von Tatsachen erhält, denen zufolge die Voraussetzungen für die Anerkennung nicht mehr erfüllt sind. ²Vor der Entscheidung über den Widerruf ist der Anbieter des anerkannten Dienstes zur Einwilligungsverwaltung anzuhören.