Eine oft gestellte und mehr oder weniger ernst zu nehmende Frage ist jene, woher das Christkind wisse, wer welche Geschenke bekommen soll.
Kinder wissen natürlich, dass die korrekte Zustellung aufgrund des Weihnachtswunschzettels erfolgt, welcher im Vorfeld geschrieben und zur nächtlichen Abholung ans Fenster gelegt wird.
Die eigentliche Frage ist aber, ob das mit der DSGVO vereinbar ist?
Betrachtet man den Sachverhalt aus datenschutzrechtlicher Sicht, kann festgehalten werden, dass personenbezogene Daten verarbeitet werden. Zur Erinnerung: Die DSGVO definiert im Art 4 Z 2 den Begriff der Verarbeitung und versteht darunter jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang […]. Personenbezogene Daten sind iSd Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ist also durch die verarbeitete Information ein Rückschluss auf eine natürliche Person möglich, liegen personenbezogene Daten vor.
Die DSGVO ist somit anwendbar und nachdem es sich bei der weihnachtlichen Geschenke-Verteilung quasi um eine berufliche Tätigkeit handelt, greift auch die Haushaltsausnahme nicht. Im Verarbeitungsverzeichnis des Christkinds muss somit dokumentiert werden, aufgrund welcher Rechtsgrundlage die personenbezogenen Daten der Geschenknehmer verarbeitet werden.
Einwilligung von Kindern oder berechtigte Interessen Dritter?
Sofern keine „sensiblen“ Daten verarbeitet werden, richtet sich die Rechtmäßigkeit grds. nach Art 6 DSGVO. Allen voran ist eine Verarbeitung personenbezogener Daten zulässig, wenn eine gültige Einwilligung dafür vorliegt. Die Voraussetzungen sind in Art 7 DSGVO geregelt, wobei sich natürlich die Frage stellt, ob Kinder unter 14 Jahren überhaupt gültige Einwilligungen erteilen können. Siehe auch den Blogbeitrag „DSGVO-Zustimmungen in Kindergarten, Schule & Co“.
Es ist zu befürchten, dass ein Weihnachtswunschzettel keine gültige Einwilligung (von Kinder unter 14 Jahren) zur Verarbeitung personenbezogener Daten darstellt. Es bleibt abzuwarten, ob sich die Datenschutzbehörde zu dieser Fragestellung in absehbarer Zeit äußern wird, da eine richtungsweisende Auslegung auch für irdische Verantwortliche von höchster Relevanz ist.
Das Christkind wird deshalb sicherheitshalber auf eine alternative Rechtsgrundlage zurückgreifen müssen und kann sich allenfalls auf berechtigte Interessen stützen.
Zusammenfassung
Ob ein Weihnachtswunschzettel die Anforderungen einer gültigen Einwilligung iSd Artt 7, 8 DSGVO erfüllt, ist nicht abschließend geklärt. Auf meinem Wunschzettel an die DSB steht daher, dass ich mir eine Antwort auf die Frage von gültigen Einwilligungen von Kindern unter 14 Jahren wünschen würde.
Wie schon so oft erwähnt, ist aber die Einwilligung nicht das Non plus ultra und es gibt auch noch weitere Erlaubnistatbestände, die bei jeder Datenverarbeitung geprüft werden sollten.
Voraussichtlich wird das Christkind auch heuer aufgrund berechtigter Interessen iSd Art 6 Abs 1 lit f DSGVO Geschenke zustellen können. Nachdem es sich ohnehin nie bei der Geschenke-Zustellung erwischen lässt, werden wir allerdings nicht erfahren, ob tatsächlich die COVID-19-Schutzmaßnahmenverordnung dabei eingehalten wurde.
In diesem Sinne wünsche ich allen interessierten Lesern frohe Weihnachten, erholsame Feiertage, und einen guten Start ins neue Jahr. Ich bedanke mich für Ihre spannenden Fragestellungen, die Sie mir in der Vergangenheit zugesandt haben. Senden Sie mir auch gerne weiterhin datenschutzrechtliche Fragen, die ich ggf. in Form von Blogbeiträgen behandeln werde.