DSGVO - BDSG - TTDSG

341

Entscheidend ist, dass der betroffenen Person alle Informationen zur Verfügung gestellt werden, die erforderlich sind, um die betroffene Person in die Lage zu versetzen, die Konsequenzeneiner etwaigen von ihr erteilten Einwilligung leicht zu bestimmen.658 Sie muss dabei über sämtliche Umstände informiert werden, die aus objektiver Sicht erforderlich sind, damit sie willentlich darüber entscheiden kann, ob sie der geplanten Datenverarbeitung zustimmt oder nicht.659 Hierbei verbietet sich eine schematische, generalisierende Betrachtungsweise. Vielmehr ist auf den jeweiligen Einzelfall abzustellen. Daher können die zu erteilenden Informationen im Einzelfall mit den nach Art. 13 bzw. Art. 14 DSGVO zu erteilenden Informationen übereinstimmen, müssen dies aber nicht. Jedenfalls ist es nicht erforderlich, um den Informiertheitsanforderungen des Art. 4 Nr. 11 DSGVO zu genügen, die betroffene Person über in Art. 13 bzw. Art. 14 DSGVO enthaltene Punkte zu informieren, wenn sie für den vorliegenden Fall nicht relevant sind. So sind z.B. regelmäßig keine Informationen über einen in Art. 13 bzw. Art. 14 DSGVO genannten Punkt erforderlich, wenn sich diese in reinen Negativinformationen erschöpfen würden, beispielweise dass kein internationaler Datentransfer erfolgt – es sei denn, dass eine solche Information ausnahmsweise für das Gesamtverständnis im Hinblick auf die Datenverarbeitung erforderlich ist.660 Ebenso ist z.B. keine Information nach Art. 13 Abs. 1 lit. d DSGVO bzw. Art. 14 Abs. 2 lit. b DSGVO erforderlich. Nach diesen Vorschriften ist die betroffene Person über die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden, zu informieren, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht. Dies ist jedoch hier nicht der Fall, da die Verarbeitung auf Basis einer Einwilligung erfolgt.

341a

Der EuGHscheint in seiner Entscheidung in Sachen Orange România/ANSPDCPinsoweit allerdings eine engere Verbindung zwischen dem Tatbestandsmerkmal „in informierter Weise“ gem. Art. 4 Nr. 11 DSGVO und Art. 13 DSGVO anzunehmen, als sie hier vertreten wird. So scheint er Art. 4 Nr. 11 DSGVO im Lichte von Art. 13 DSGVO auszulegen, wenn er ausführt, dass das Erfordernis gem. Art. 4 Nr. 11 DSGVO, dass eine Einwilligung „in informierter Weise“ erfolgen muss, nach Art. 13 DSGVO i.V.m. Erwägungsgrund 42 bedeute, dass der Verantwortliche die betroffene Person über alle Umstände im Zusammenhang mit der Verarbeitung der Daten informieren müsse, insbesondere über die Art der zu verarbeitenden Daten, die Identität des Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden.661 Allerdings setzt der EuGH in seinen Ausführungen Art. 4 Nr. 11 DSGVO auch nicht mit Art. 13 DSGVO gleich, da er eben insoweit nicht einfach verlangt, dass die betroffene Person über die in dieser Vorschrift aufgeführten Punkte zu informieren sei. Mithin kann aus dieser Entscheidung des EuGH nach hier vertretener Auffassung nicht entnommen werden, dass dieser zwingend in jedem Fall verlangen würde, dass die betroffene Person über die in Art. 13 bzw. Art. 14 DSGVO aufgeführten Punkte informiert werden muss, damit die Einwilligung i.S.d. Art. 4 Nr. 11 DSGVO informiert erfolgt.662

342

Ganz generell empfiehlt es sich aber aus Gründen der Rechtssicherheit, sich bei der Information des Einwilligenden an Art. 13 bzw. Art. 14 DSGVO zu orientieren(siehe Art. 6 Rn. 38). Gerade bei komplexen Datenverarbeitungen kann es zudem sinnvoll sein – wie unter Rn. 345 erläutert wird –, die für die Erteilung der Einwilligung erforderlichen Informationen im Wege eines Mehrebenenansatzes zur Verfügung zu stellen und dabei in der Einwilligung auf die Datenschutzerklärung als eine nachgelagerte Informationsebene zu verlinken, zumal die Informationspflichten nach Art. 13f. DSGVO ohnehin erfüllt werden müssen, auf diese Weise Synergien genutzt werden können und so zugleich auch sichergestellt wird, dass die Informationen nach Art. 13f. DSGVO rechtzeitig erteilt werden.663 Allerdings sind die Informationspflichten aus Art. 4 Nr. 11 DSGVO und Art. 13 bzw. Art. 14 DSGVO – wie soeben erläutert – nach hier vertretener Ansicht nicht deckungsgleich, sodass ein Verstoß gegen die in Art. 13 bzw. Art. 14 DSGVO enthaltenen Informationspflichten, die über die Informationspflichten nach Art. 4 Nr. 11 DSGVO hinausgehen, nicht zur Unwirksamkeit der Einwilligung führt (ausführlich zur Informiertheit der Einwilligung Art. 6 Rn. 37ff.; siehe zu den Besonderheiten im Beschäftigungsverhältnis auch § 26 Abs. 2 BDSG).664 Zu den Anforderungen aus ErwG 43 S. 2 und ErwG 32 S. 4 und 5, insbesondere zur Transparenz und zur Granularität, siehe oben Rn. 309ff.

343

Fehlvorstellungen, denen die betroffene Person trotz hinreichender Information i.S.d. Art. 4 Nr. 11 DSGVO unterliegt, gehen zu ihren Lasten, da der Verantwortliche nach hier vertretener Ansicht nur die hinreichende Information, nicht aber einen Erfolg dergestalt schuldet, dass die betroffene Person die geplante Datenverarbeitung auch richtig erfasst hat.665 Die Einwilligung ist also auch in einem solchen Fall wirksam (sofern die übrigen Voraussetzungen vorliegen), kann aber ggf. gem. Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft widerrufen werden.

344

Im Hinblick auf die Art und Weise der Informationhat der Verantwortliche die Information so zu verfassen, dass der primäre Adressatenkreis, an den die Einwilligung gerichtet ist, diese versteht – und zwar unter Berücksichtigung von dessen (inhaltlichen) Vorkenntnissen, dessen Verständnisniveau sowie von dessen Sprachkenntnissen.666 Der Umfang der Einwilligung muss so gestaltet werden, dass der Einwilligende diesen auch in der Lebenswirklichkeit zur Kenntnis nehmen kann – die Information also nicht so lang/umfangreich ist, dass sie nicht mehr gelesen wird –,667 sodass gerade bei komplexen Datenverarbeitungen vor diesem Hintergrund insoweit eine gewisse Unschärfe bei der Information erforderlich sein kann.

345

Gegebenenfalls kann es ein probates Mittel sein, die Informationen durch mehrschichtige Hinweise(„multilayered notice“) zu vermitteln, bei denen die betroffene Person auf der ersten Ebene über alle wesentlichen Umstände informiert wird, sodass sie sich hierdurch schon ein Bild von der Datenverarbeitung machen kann und sie nach dem Klicken auf mit einem Link hinterlegte Begriffe auf eine zweite Ebene geleitet wird, wo sich detaillierte Informationen zu den Einzelheiten des jeweiligen Begriffs bzw. des jeweiligen Abschnitts befinden.668 Soweit es zur besseren Verständlich- und Übersichtlichkeit erforderlich bzw. sinnvoll ist, kann auch noch eine dritte Ebene vorgesehen werden.669 Allerdings darf die Verwendung mehrerer Ebenen auch nicht dazu führen, dass die Kenntnisnahme der Informationen für die betroffene Person mit einem unverhältnismäßigen Aufwand verbunden wäre.670 Medienbrüche sind hierbei grundsätzlich zu vermeiden, können aber ggf. zulässig sein, wenn sie sich aufgrund der Eigenart des jeweiligen Mediums nicht vermeiden lassen.671 Gegebenenfalls kann die Information der betroffenen Person auch zusätzlich mit Hilfe von Bildsymbolen erfolgen.672 In jedem Fall ist bei der Information der betroffenen Person aber sicherzustellen, dass die Informationen für sie leicht zugänglich sind und sie diese in zumutbarer Weise zur Kenntnis nehmen kann (vgl. zur Art und Weise der Information auch Art. 7 Rn. 66ff.).

346

Keine ausdrücklichen Vorgaben enthält die DSGVO im Hinblick auf die Form der Information, sodass diese z.B. schriftlich, in Textform, elektronisch oder mündlich ergehen kann. Allerdings ist darauf zu achten, dass der Verantwortliche nach Art. 7 Abs. 1 DSGVO verpflichtet ist, die Einwilligung und damit auch die Information der betroffenen Person nachzuweisen (siehe zu den Anforderungen an den Nachweis einer Einwilligung Art. 7 Rn. 46ff.).