DSGVO - BDSG - TTDSG

347

Erfolgt die Einwilligung/Information im Rahmen von AGB, enthält Art. 7 Abs. 2 DSGVO noch weitere Voraussetzungen (siehe hierzu ausführlich Art. 7 Rn. 53ff.).

348

Weitere Voraussetzung für eine wirksame Einwilligungserklärung ist, dass sie von der betroffenen Personerteilt wird, also von der Person, auf die sich die zu verarbeitenden personenbezogenen Daten beziehen. Dies bedeutet jedoch nicht, dass die Einwilligung in jedem Fall von der betroffenen Person selbst abgegeben werden muss. So ist die Erteilung einer Einwilligung bei Vorliegen der entsprechenden Voraussetzungen durch gesetzliche Vertreter zulässig.673 Ebenso ist die Erteilung durch einen Boten zulässig.674 Zur Wirksamkeit einer durch einen (bevollmächtigten) Stellvertreter erteilten Einwilligung siehe ausführlich Art. 7 Rn. 14f.

349

Außerdem setzt Art. 4 Nr. 11 EU-DSGVO voraus, dass die Einwilligung unmissverständlichin Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erteilt wird, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist (ausführlich zu dieser formalen Anforderung Art. 6 Rn. 42f., Art. 7 Rn. 29ff., siehe auch oben Rn. 295f.). Ob eine Einwilligung vorliegt, ist aus dem objektiven Empfängerhorizont zu beurteilen.675

350

Die Erklärung ist dabei an keine bestimmte Form gebunden und kann gem. ErwG 32 z.B. schriftlich, elektronisch oder mündlich ergehen.676 Eine eindeutige bestätigende Handlung liegt vor, wenn die betroffene Person durch eine bewusste/vorsätzliche aktive Handlungin eine bestimmte Datenverarbeitung eingewilligt hat.677 Mithin kann eine Einwilligung z.B. mittels Unterschrift unter einer papiergebundenen Einwilligungserklärung, Anklicken einer Schaltfläche oder Ankreuzen eines Kästchens erteilt werden.678 Schaltflächen sind dabei so zu bezeichnen, dass für die betroffene Person klar ersichtlich ist, dass bei ihrer Betätigung eine Einwilligung erteilt wird (z.B. „Zustimmen“, „Einverstanden“, Einwilligung erteilen“; nicht ausreichend: „OK“, „Verstanden“ oder „Weiter“).679

351

Eine ausdrückliche Einwilligung ist grundsätzlich nicht erforderlich.680 Vielmehr kann die betroffene Person auch durch konkludentesoder schlüssiges Verhaltenin die Verarbeitung ihrer Daten einwilligen.681 In diesem Zusammenhang erscheint es – auch nach der Entscheidung des EuGH in Sachen „Planet49“ – nicht vollkommen ausgeschlossen, dass eine betroffene Person durch die aktive Weiternutzung einer Webseite eine Einwilligung erteilt (z.B. in die Verarbeitung personenbezogener Daten durch Cookies).682 Allerdings muss diesem Verhalten ein eindeutiges Erklärungsbewusstsein der betroffenen Person zu entnehmen sein, das einen Rückschluss auf den eindeutigen Willen des Erklärenden zulässt (siehe Art. 7 Rn. 33).683 Zudem müssen auch in diesem Fall die weiteren Anforderungen an eine wirksame Einwilligung gewahrt sein, insb. die Informiertheit, und der Verantwortliche muss die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen können (siehe Art. 7 Rn. 33).684

352

Die Erteilung einer konkludenten Einwilligung ist allerdings ausnahmsweise ausgeschlossen, wenn die relevante Vorschrift (ausnahmsweise) eine ausdrückliche Einwilligung verlangt, so z.B. Art. 9 Abs. 2 lit. a (Verarbeitung besonderer Kategorien personenbezogener Daten), Art. 22 Abs. 2 lit. c (automatisierte Entscheidungen im Einzelfall) und Art. 49 Abs. 1 Satz 1 lit. a DSGVO (Übermittlung personenbezogener Daten in ein Drittland). Ebenso kann die Einwilligung nach hier vertretener Ansicht grundsätzlich auch zusammen mit anderen (z.B. schuldrechtlichen) Erklärungen durch eine einzige Handlung erteilt werden – vorausgesetzt, dass diese unmissverständlich ist.685

353

Eine Erteilung der Einwilligung durch Schweigen, bloßes Bestehenlasseneines angekreuzten Kästchens auf einer Webseite oder durch Untätigkeitist hingegen gem. ErwG 32 Satz 3 nicht zulässig. Dies gilt ebenso für eine mutmaßliche Einwilligung.686 Somit liegt z.B. keine wirksame Einwilligung vor, wenn eine Datenverarbeitung mittels voreingestellter Ankreuzkästchen erlaubt wird, die die betroffene Person zur Verweigerung ihrer Einwilligung abwählen muss.687 Zum sogenannten „Nudging“ bzw. „Dark Patterns“ siehe die Ausführungen unter Rn. 318ff.688

354

Auf jeden Fall muss der Verantwortliche eine Form wählen, die es ihm ermöglicht, die Einwilligung gem. Art. 7 Abs. 1 DSGVO nachzuweisen.689

355

Des Weiteren ist es nach ErwG 32 Satz 2 auch möglich, eine Einwilligung durch die Auswahl technischer Einstellungenfür Dienste der Informationsgesellschaft i.S.d. Art. 4 Nr. 25 DSGVO zu erteilen, also z.B. durch Browsereinstellungen. Allerdings erscheint es derzeit schwer vorstellbar, wie durch ein solches Verfahren die (anderen) Anforderungen an eine Einwilligung, insbesondere aus Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a, Art. 7 und Art. 8 DSGVO, gewahrt werden sollen, vor allem im Hinblick auf die Bestimmtheit (siehe oben Rn. 325ff.) und die Informiertheit (siehe oben Rn. 335ff.). Ebenso müsste eine aktive Auswahl der technischen Einstellungen erfolgen – das bloße Bestehenlassen der Voreinstellungen ist hingegen nicht ausreichend.690 Allerdings ist für den in diesem Zusammenhang besonders praxisrelevanten Fall der Einwilligung in Cookies zu erwarten, dass die sich bei Redaktionsschluss dieser Auflage noch im Gesetzgebungsverfahren befindliche ePrivacy-Verordnung Sonderregelungen enthalten wird, die ggf. eine Erteilung solcher Einwilligungen durch Browsereinstellungen auch praktisch durchführbar machen. Für den Anwendungsbereich des TTDSGsiehe in diesem Zusammenhang auch § 26 TTDSG.

356

Wird die Einwilligung elektronisch erteilt, verlangt ErwG 32 Satz 6, dass die Aufforderung hierzu in klarer und knapper Form und ohne unnötige Unterbrechungdes Dienstes, für den die Einwilligung gegeben wird, erfolgt. Der Wortlaut der Vorschrift legt nahe, dass diese (nur) solche Einwilligungen erfasst, mittels derer ein Einwilligender seine Zustimmung zu einer Datenverarbeitung gibt, die für die Erbringung des Dienstes erforderlich ist.691 Damit wäre die Regelung in der Praxis weitgehend gegenstandslos, da in diesen Fällen die Datenverarbeitung ganz regelmäßig auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann. Es erscheint daher sachgerecht, ErwG 32 Satz 6 teleologisch so auszulegen, dass er auch Einwilligungen erfasst, die Datenverarbeitungen zum Gegenstand haben, die für die Erbringung des Dienstes nicht erforderlich sind, was z.B. in der Regel bei Werbeeinwilligungen der Fall ist.692 Banner-Einblendungen auf einer Webseite mit der Aufforderung zur Abgabe einer Einwilligung (z.B. in die Datenverarbeitung durch Cookies) sind nach hier vertretener Ansicht mit ErwG 32 S. 6 DSGVO aber vereinbar, zumindest soweit dies einmalig beim Betreten der Webseite erfolgt.693 Selbst wenn man sich auf den Standpunkt stellt, dass die Einblendung eines solchen Banners den Dienst unterbrechen würde, wäre die Unterbrechung in diesem Fall nicht „unnötig“, zumindest solange eine Einwilligungserteilung durch Auswahl technischer Einstellungen/Browsereinstellungen noch nicht möglich ist bzw. von den Nutzern noch nicht akzeptiert wird und keine anderen Verfahren verfügbar sind, die den Dienst nicht/weniger stark unterbrechen.694