DSGVO - BDSG - TTDSG

291

Die Einwilligung ist eine von zwei Alternativen zur Rechtfertigung der Verarbeitung personenbezogener Daten. So folgt auch die DSGVO dem sogenannten Verarbeitungsverbot mit Erlaubnisvorbehalt. Demnach ist die Verarbeitung personenbezogener Daten grundsätzlich verboten und nur ausnahmsweise erlaubt – und zwar, wenn eine Rechtsvorschrift die Verarbeitung erlaubt oder wenn die betroffene Person in die Verarbeitung eingewilligt hat (vgl. ErwG 40, Art. 6 Abs. 1 DSGVO und Art. 9 Abs. 1 und 2 DSGVO).558 Vor diesem Hintergrund besitzt die Einwilligung eine erhebliche Bedeutung im Rahmen der Rechtmäßigkeit der Datenverarbeitung. Gerade wenn keine Rechtsvorschrift, z.B. aus der DSGVO, die Datenverarbeitung erlaubt, kann diese nur dann erfolgen, wenn die betroffene Person ihre Einwilligung hierzu erteilt hat. Dieses Prinzip folgt aus Art. 8 Abs. 2 GRCh, nach dem personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Die Einwilligung ist Ausdruck der Selbstbestimmung der betroffenen Person, – frei von Paternalismus und Zwang – selbst über die Verarbeitung „ihrer“ Daten entscheiden zu dürfen.

292

Nach Art. 4 Nr. 11 DSGVO ist eine „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Damit unterscheidetsich Art. 4 Nr. 11 DSGVO durchaus von der in Art. 2 lit. h DSRl enthaltenen Definition der Einwilligung. Nach dieser Vorschrift war eine Einwilligung jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.

293

Allerdings enthält Art. 4 Nr. 11 DSGVO nicht sämtliche Voraussetzungen einer wirksamen Einwilligungserklärung. Weitere Voraussetzungenfinden sich insbesondere in Art. 6 Abs. 1 lit. a und Art. 7 DSGVO sowie ggf. in Art. 8 DSGVO (Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft), Art. 9 Abs. 2 lit. a (Verarbeitung besonderer Kategorien personenbezogener Daten), Art. 22 Abs. 2 lit. c (automatisierte Entscheidungen im Einzelfall) und Art. 49 Abs. 1 Satz 1 lit. a DSGVO (Übermittlung personenbezogener Daten in ein Drittland).559 Durch diese – teilweise unnötige – Aufteilung hat der Verordnungsgeber die Verständlichkeit der DSGVO und der Voraussetzungen für eine wirksame Einwilligungserklärung leider erschwert. Für Einwilligungen im Beschäftigungsverhältnis ist insbesondere auch § 26 Abs. 2 und 3 BDSG zu beachten.

294

Zwischen den in den verschiedenen Entwurfsfassungen der DSGVO enthaltenen Definitionen der Einwilligung gab es – vom bloßen Wortlaut her – nur geringe Unterschiede. Nach dem Vorschlag der Europäischen Kommission und der Fassung des Europäischen Parlaments sollte die Einwilligung durch eine „explizite“ bzw. „ausdrückliche“ Willensbekundung erfolgen.560 Hierdurch sollte insbesondere sichergestellt werden, dass der betroffenen Person bewusst ist, dass sie eine Einwilligung erteilt und worin sie eingewilligt hat.561 In der Fassung des Rates der Europäischen Union war dieses Ausdrücklichkeitserfordernis hingegen nicht (mehr) enthalten.562 Im Rahmen der Trilog-Verhandlungen haben sich die beteiligten Institutionen dann auf die nun in Art. 4 Nr. 11 DSGVO enthaltene Formulierung geeinigt, nach der die Einwilligung durch eine „unmissverständlich abgegebene“ Willensbekundung erteilt werden muss. Außerdem wurde in die Definition – im Unterschied zu den vorangegangenen Fassungen – mit aufgenommen, dass die Willenserklärung in Form einer Erklärung oder einer sonstigen eindeutigen „bestätigenden“ Handlung erteilt werden muss.

295

Teilweise wird hieraus – insbesondere auch vor dem Hintergrund von ErwG 32, der Beispiele für eine eindeutige bestätigende Handlung nennt – geschlossen, dass zwischen der von der Europäischen Kommission und dem Europäischen Parlament vorgeschlagenen Fassung und der verabschiedeten Fassung der Definition der Einwilligung in Art. 4 Nr. 11 DSGVO kaum ein Unterschiedbestünde.563

296

Diese Aussage ist jedoch zu weitgehend. So ist festzustellen, dass sich der Verordnungsgeber im Laufe des Gesetzgebungsprozesses ganz bewusst dagegen entschiedenhat, dass eine Einwilligung – soweit in der DSGVO nicht ausnahmsweise etwas anderes geregelt ist, wie in Art. 9 Abs. 2 lit. a, Art. 22 Abs. 2 lit. c und Art. 49 Abs. 1 Satz 1 lit. a DSGVO – durch eine ausdrückliche Willensbekundung erfolgen muss. Dieser Umstand ist bei der Auslegung der DSGVO, insbesondere auch des ErwG 32, zu berücksichtigen.564 So entsprechen die nun in Art. 4 Nr. 11 DSGVO enthaltenen Voraussetzungen eben nicht vollständig dem in den Fassungen der Europäischen Kommission und des Europäischen Parlaments enthaltenen Ausdrücklichkeitserfordernis.

297

Art. 4 Nr. 11 DSGVO enthält insgesamt sechs Anforderungenan eine wirksame Einwilligung: Diese teilen sich in insgesamt drei Anforderungen im Hinblick auf den Inhalt der Einwilligung und in drei Anforderungen an die Form der Einwilligung auf.

298

Die in Art. 4 Nr. 11 DSGVO statuierten Anforderungen an den Inhalt der Einwilligungsind:

1. Die Einwilligung muss freiwillig erteilt werden.

2. Sie muss für einen bestimmten Fall erteilt werden.

3. Sie muss in informierter Weise erteilt werden.

299

Im Hinblick auf die Form der Einwilligungenthält Art. 4 Nr. 11 DSGVO die folgenden Anforderungen:

1. Die Einwilligung muss von der betroffenen Person erteilt werden.

2. Sie muss unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erteilt werden, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

3. Außerdem enthält Art. 4 Nr. 11 DSGVO die Anforderung, dass die Einwilligungserklärung „abgegeben“ werden muss. Somit enthält Art. 4 Nr. 11 DSGVO indirekt auch die Anforderung, dass die betroffene Person einwilligungsfähig ist, also eine rechtlich wirksame Einwilligung abgeben darf.

300

Eine ausführliche Erläuterung dieser Anforderungen erfolgt auch in der Kommentierung zu Art. 7 DSGVO, Art. 6 Abs. 1 lit. a DSGVOund für die Verarbeitung von Beschäftigtendaten in § 26 BDSG.

301

Alteinwilligungen, also Einwilligungen, die vor Beginn der Anwendbarkeit der DSGVO erteilt wurden, bleiben wirksam, sofern sie den (Wirksamkeits-)Anforderungen an eine Einwilligung nach der DSGVO entsprechen (siehe ErwG 171 Satz 3).565