DSGVO - BDSG - TTDSG

334

Dient die Einwilligung zur Legitimation der Verarbeitung von Daten zu Forschungszwecken, können gem. ErwG 33 ausnahmsweise aber auch Einwilligungen in der Form eines sogenannten „broad consent“ oder „tiered consent“ wirksam sein. Durch diese Ausnahme soll die wissenschaftliche Forschung privilegiert werden, da beim Beginn von wissenschaftlichen Forschungsprojekten die genauen Untersuchungen und Tätigkeiten während der gesamten Dauer dieses Projekts oftmals noch nicht abschließend angegeben werden können (ausführlich zur Bestimmtheit einer Einwilligungserklärung Art. 6 Rn. 45f., Art. 7 Rn. 135ff.).636

335

Des Weiteren muss die Einwilligung gem. Art. 4 Nr. 11 DSGVO auch informiert erfolgen, damit sie wirksam sein kann. Diese Anforderung knüpft an den Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO an und steht in engem Verhältnis mit dem Erfordernis der Bestimmtheit der Einwilligung (siehe oben unter Rn. 325ff.), mit dem sie sich teilweise überschneidet. In informierter Weise wird eine Einwilligung erteilt, wenn der betroffenen Person vor Abgabe der Einwilligungserklärung sämtliche Informationen zur Verfügung gestellt wurden, die notwendig sind, dass sie die Umstände der Datenverarbeitung sowie ihre Auswirkungen und damit die Tragweite ihrer Einwilligung überblicken kann.637 Nur in diesem Fall kann sie eine selbstbestimmte Entscheidung darüber treffen, ob sie mit der Datenverarbeitung einverstanden ist oder nicht.638

336

Dabei „schuldet“ der Verantwortliche nach hier vertretener Ansicht nicht den Erfolg, dass die betroffene Person auch tatsächlich informiert ist, sondern nur die zumutbare Möglichkeit zur Kenntnisnahme der Informationen.639 Zwar könnte der EuGH in seiner Entscheidung Orange România/ANSPDCP dahingehend zu verstehen sein, dass die betroffene Person die ihr zur Verfügung gestellten Informationen auch gelesen und verstanden haben muss, damit die Einwilligung informiert erfolgen und sie wirksam erteilt werden kann.640 Darüber hinaus kann der EuGH in dieser Entscheidung auch so verstanden werden, dass der Verantwortliche sogar nachweisen können muss, dass die betroffene Person die Informationen tatsächlich gelesen und verstanden hat.641 Einem solchen Verständnis kann nach hier vertretener Ansicht jedoch nicht gefolgt werden und lässt sich wohl vor allem mit dem sehr speziellen Sachverhalt erklären, über den der EuGH zu entscheiden hatte. Dieser zeichnete sich insbesondere dadurch aus, dass Mitarbeiter des Verantwortlichen die betroffene Person nach mündlicher Unterrichtung über die Datenverarbeitung gefragt haben, ob sie einer bestimmten Datenverarbeitung zustimmen würde. Tat sie dies, haben die Mitarbeiter des Verantwortlichen das für die Zustimmung vorgesehene Ankreuzfeld, neben dem noch eine Klausel zur Datenverarbeitung enthalten war, im zwischen dem Verantwortlichen und der betroffenen Person abzuschließenden Vertrag angekreuzt. Anschließend hat die betroffene Person dann den gesamten Vertrag mitsamt des angekreuzten Feldes unterzeichnet – teilweise fehlte dieses Kreuz wohl auch.642

337

Jedenfalls kann dieses Verständnis nach hier vertretener Ansicht grundsätzlich nicht einfach auf andere Fallkonstellationen übertragenwerden. So ist eine betroffene Person nicht schutzwürdig, wenn sie die Informationen trotz zumutbarer Möglichkeit der Kenntnisnahme nicht liest.643 Zudem wäre ein Nachweis darüber, dass eine betroffene Person die Informationen tatsächlich gelesen und verstanden hat, in der Praxis – wenn überhaupt – jedenfalls kaum zu führen.644 Dies hätte zur Folge, dass Verantwortliche Einwilligungen in der Praxis nicht mehr rechtssicher einsetzen könnten, weil sie den entsprechenden Nachweis für deren Erteilung nicht erbringen könnten. Dies kann jedoch weder vom EuGH gewollt sein noch der DSGVO entsprechen.

338

Mithin muss der Verantwortliche nach hier vertretener Ansicht also grundsätzlich nicht nachweisen, dass eine betroffene Person die Informationen tatsächlich gelesen und verstanden hat. Der Verantwortliche bleibt allerdings nach Art. 7 Abs. 1 DSGVOverpflichtet, nachweisen zu können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.645 In diesem Zusammenhang ist durch die Gestaltung der Einwilligung sicherzustellen, dass der betroffenen Person eine zumutbare Möglichkeit zur Kenntnisnahme der Informationen eröffnet wird646 – hierfür ist der Verantwortliche dann auch gem. Art. 7 Abs. 1 DSGVO nachweispflichtig.

339

Nach ErwG 42 Satz 4 muss der Verantwortliche die betroffene Person mindestens darüber informieren, wer der Verantwortliche (Name bzw. Firma und Adresse) ist – bzw. im Fall der gemeinsamen Verantwortlichkeit i.S.d. Art. 26 DSGVO, wer die Verantwortlichen sind647 – und für welche Zwecke ihre Daten verarbeitet werden. Darüber hinaus sind im Einzelfall aber noch weitere Angaben erforderlich. So ist die betroffene Person im Fall einer Datenübermittlung darüber mitsamt der Angabe der Datenempfänger (Name bzw. Firma und Adresse) zu informieren.648 Auftragsverarbeiter müssen nach Auffassung des Europäischen Datenschutzausschusses aber nicht genannt werden.649 Des Weiteren ist über die zu verarbeitenden Daten zu informieren, wobei nach hier vertretener Ansicht die Angabe der Datenarten ausreichend ist.650 Außerdem ist die betroffene Person gem. Art. 7 Abs. 3 Satz 3 DSGVO über ihr Widerrufsrecht zu informieren. Soweit die Einwilligung auch den Datentransfer in ein Drittland gem. Art. 49 Abs. 1 Satz 1 lit. a DSGVO rechtfertigen soll, ist die betroffene Person zudem über die damit verbunden Gefahren und Risiken aufzuklären.651 Je nach Verarbeitungssituation können aber noch weitere Angaben erforderlich sein, so z.B. bei automatisierten Entscheidungen im Einzelfall gem. Art. 22 Abs. 2 lit. c DSGVO. Soweit möglich, sollte auch über die Dauer und die Modalitäten der Datenverarbeitung informiert werden.652 Beim Einsatz von Cookies ist nach Auffassung des EuGH (u.a.) über die Funktionsdauer der Cookies zu informieren.653 Darüber hinaus sollte die betroffene Person über die Folgen der Verweigerung der Einwilligung informiert werden.654 Dabei ist insbesondere sicherzustellen, dass – wenn die Einwilligung im Zusammenhang mit einem Vertrag erteilt werden soll – die betroffene Person bzgl. der (bestehenden oder nicht bestehenden) Möglichkeit, den Vertrag auch dann abzuschließen, wenn sie die Einwilligung verweigert, klar informiertund nicht, z.B. durch Vertragsbestimmungen, in die Irregeführt wird.655 Siehe ausführlich zu den beim Einsatz von Cookies für eine wirksame Einwilligung zu erteilenden Informationen § 25 TTDSG Rn. 34ff.

340

Nach hier vertretener Ansicht wäre es aber zu weitgehend, zwingend in jedem Einzelfall zu verlangen, dass die betroffenen Personen auch über sämtliche weiteren in Art. 13 bzw. Art. 14 DSGVOgenannten Punkte informiert werden müssen, damit die anschließende Einwilligung informiert i.S.d. Art. 4 Nr. 11 DSGVO erfolgt.656 Die Informationspflichten aus Art. 13 bzw. Art. 14 DSGVO sind nicht mit den Anforderungen an eine informierte Einwilligung nach Art. 4 Nr. 11 DSGVO gleichzusetzen. Dies folgt bereits aus der Systematik der DSGVO. So unterscheidet der Verordnungsgeber zwischen der Informiertheit der Einwilligung i.S.d. Art. 4 Nr. 11 DSGVO einerseits und den Informationspflichten nach Art. 13 und 14 DSGVO andererseits und verweist in diesem Zusammenhang auch nicht etwa auf die jeweils andere Vorschrift. Besonders deutlich geht dies aus ErwG 42 Satz 4 hervor, der im Hinblick auf die Mindestinhalte der im Rahmen einer Einwilligung zur Verfügung zu stellenden Information eben gerade nicht auf Art. 13 und Art. 14 DSGVO verweist oder deren Inhalte wiederholt, sondern nur die oben unter Rn. 339 aufgeführten Punkte nennt.657