DSGVO - BDSG - TTDSG

357

Zu den Anforderungen aus ErwG 43 Satz 2 und ErwG 32 Satz 4 und 5, z.B. zur Granularität der Einwilligung, siehe oben Rn. 309ff. Soweit die datenschutzrechtliche Einwilligung zusammen mit anderen Willenserklärungen abgegeben wird oder die betroffene Person mittels der Einwilligung der Verarbeitung ihrer Daten zu mehreren Zwecken (gebündelt) zustimmen soll, ist es erforderlich, dass sich die Willensbekundung (auch) auf die datenschutzrechtliche Einwilligung und auf sämtliche darin enthaltenen Verarbeitungszwecke erstreckt.695

358

Wird die Einwilligung im Rahmen von AGBerteilt, gelten besondere formale Anforderungen (siehe hierzu ausführlich Art. 7 Rn. 53ff.).

359

Schließlich setzt Art. 4 Nr. 11 DSGVO zumindest indirekt noch voraus, dass die betroffene Person einwilligungsfähig ist. Dies ist sie, wenn sie einsichtsfähigist.696 Auch Minderjährige, also Personen unter 18 Jahren, können daher wirksam in die Verarbeitung ihrer Daten einwilligen – vorausgesetzt, dass sie insoweit einsichtsfähig sind. Dies ist im jeweiligen Einzelfall zu prüfen (siehe ausführlich zur Einwilligungsfähigkeit Art. 6 Rn. 30f.). Etwas anderes gilt jedoch für den Fall, dass die Einwilligung im Rahmen eines Angebots von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, eingeholt wird. Hier gilt nach Art. 8 Abs. 1 Satz 1 DSGVO eine starre Altersgrenze von 16 Jahren (siehe ausführlich hierzu Art. 8 Rn. 3ff., 13ff.).697

360

Die Einwilligung ist von der betroffenen Person vor Beginnder Datenverarbeitung zu erteilen, die durch die Einwilligung gerechtfertigt werden soll.

361

Die DSGVO gibt keine feste maximale Geltungsdauereiner Einwilligung vor.698 Insbesondere erlischt eine Einwilligungserklärung auch nicht automatisch durch Zeitablauf – vielmehr müssen sachliche Gründe dafür bestehen, dass eine Datenverarbeitung nicht mehr auf eine Einwilligung gestützt werden kann, z.B. dass der Verarbeitungszweck, für den die Einwilligung erteilt wurde, entfallen ist.699 Somit kann eine Einwilligungserklärung ggf. auch für die Dauer des gesamten Lebens der betroffenen Person wirksam sein. Allerdings empfiehlt der Europäische Datenschutzausschuss als „best practice“, die Einwilligung in angemessenen Zeitabständen „aufzufrischen“, damit die betroffene Person informiert bleibt.700

362

Etwas anderes gilt jedoch, wenn die Wirksamkeitsdauer in der Einwilligung zeitlich befristetwurde. Dann gilt die Einwilligung nur bis zu diesem Zeitpunkt. Ebenfalls ist eine neue Einwilligung einzuholen, wenn sich die Verarbeitungsvorgänge gegenüber der in der (ursprünglichen) Einwilligung beschriebenen erheblich ändern oder weiterentwickeln.701 So ist auch eine neue Einwilligung von der betroffenen Person einzuholen, wenn auf Basis einer Einwilligung verarbeitete personenbezogene Daten nun für einen anderen Zweck verarbeitet werden sollen, der von der (ursprünglichen) Einwilligung nicht erfasst wird und die Verarbeitung für diesen anderen Zweck nicht auf eine gesetzliche Erlaubnis gestützt werden kann.702 Abzulehnen ist die Verwirkung einer Einwilligung, bloß weil der Verantwortliche von ihr keinen Gebrauch macht, da dies eine nicht hinnehmbare Rechtsunsicherheit bedeuten würde, sich im Wortlaut der DSGVO kein Hinweis darauf findet, die Problematik durchaus bekannt war, ohne dass der Verordnungsgeber sie aufgegriffen hätte, und die betroffene Person insoweit nicht schutzbedürftig ist, da sie die Wirksamkeit der Einwilligung zu jeder Zeit selbst durch einen Widerruf aufheben kann.703

363

Aus Gründen der Rechtssicherheitkönnte es jedoch überlegenswert sein, eine Gültigkeitsdauer in der Einwilligungserklärung mit anzugeben, wenn sich sicher voraussagen lässt, wie lange die Datenverarbeitung auf Grundlage der Einwilligung erfolgt. Sollte dies nicht möglich sein, ist die Aufnahme einer Formulierung wie z.B. „Meine Einwilligung gilt bis auf Widerruf, den ich jederzeit mit Wirkung für die Zukunft erklären kann“ zu erwägen.704

364

Im Übrigen kann der Einwilligende seine Einwilligung gem. Art. 7 Abs. 3 DSGVO jederzeit selbst mit Wirkung für die Zukunft widerrufen(siehe hierzu ausführlich Art. 7 Rn. 76ff.).

365

Die Begriffsbestimmung von Art. 4 Nr. 12 DSGVO ist von maßgeblicher Bedeutung für die Meldepflichten nach Art. 33, 34 DSGVO. Insofern kann einer Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO eine Meldepflicht des Verantwortlichen gegenüber der zuständigen Aufsichtsbehörde sowie nach Art. 34 DSGVO gegenüber den von der Verletzung betroffenen Personen auslösen.

366

Art. 4 Nr. 12 DSGVO definiert eine Verletzung des Schutzes personenbezogener Daten als „[...] eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“.

367

Nach Art. 70 Abs. 1 lit. g DSGVO kann der Europäische Datenschutzausschuss705 Leitlinien, Empfehlungen und bewährte Verfahren für die Feststellung von Verletzungen des Schutzes personenbezogener Daten bereitstellen.706

368

Ausgangspunkt der Definition ist eine Verletzung der Sicherheit. Die Begriffsbestimmung nimmt insoweit Bezug auf Art. 32 DSGVO, welcher datenverarbeitende Stellen dazu verpflichtet, geeignete technische und organisatorische Datensicherheitsmaßnahmen zu ergreifen. Art. 32 Abs. 2 DSGVO greift insoweit den Wortlaut von Art. 4 Nr. 12 DSGVO auf und statuiert, dass hierbei insbesondere solche Risiken zu berücksichtigen sind, die infolge von „[...] Vernichtung, Verlust, Veränderung oder unbefugte[r] Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten [...]“ entstehen können.

369

Die Datensicherheit umfasst daher die technischen und organisatorischen Maßnahmen, die einen unberechtigten(nicht unrechtmäßigen)707 Umgang mit personenbezogenen Daten verhindern und zugleich die Integrität und Verfügbarkeit der Daten und die zu deren Verarbeitung eingesetzten technischen Einrichtungen erhalten sollen.708 Die Anforderungen an die Datensicherheit umschreiben dabei den technischen und organisatorischen Rahmen, in dem die Verarbeitung erfolgen darf.709 Aus diesem Grund ist bei der Bestimmung, ob eine Verletzung der Sicherheit und damit des Schutzes personenbezogener Daten vorliegt, auf die von dem Verantwortlichen oder Auftragsverarbeiter eingesetzten technischen und organisatorischen IT-Sicherheits- bzw. Datensicherheits-Maßnahmen nach Art. 32 DSGVOabzustellen.710 Eine Verletzung nach Art. 4 Nr. 12 DSGVO liegt demgemäß immer erst dann vor, wenn eine dieser Maßnahmen versagt hat, sei es technisch bedingt (z.B. beim Versagen der Firewall oder einem Fehler im Berechtigungskonzept) oder durch einen Verstoß der Mitarbeiter gegen IT-Sicherheitsbestimmungen oder Vorgaben des Verantwortlichen, die die Datensicherheit betreffen.711 Entsprechendes gilt, wenn die von der datenverarbeitenden Stelle ergriffenen Maßnahmen in Anbetracht der mit den Verarbeitungstätigkeiten verbundenen Risiken kein hinreichendes Schutzniveau etablieren und infolgedessen ein in Art. 4 Nr. 12 DSGVO vorgesehener Vorfall eintritt.