David Klein - DS-GVO/BDSG

f) Die Rechtsnatur der Einwilligung17

g) Vorgaben aus dem informationellen Selbstbestimmungsrecht und aus Art. 8 Abs. 1 GRCh18

2. Beweislast19 – 21

3. Informiertheit und Transparenz22 – 24

4.Anforderungen bei Abgabe einer schriftlichen Erklärung in anderer Sache25 – 29

a) Transparenz25

b) Hervorhebung26 – 28

aa) Gestalterisch27

bb) Inhaltlich28

c) Rechtsfolge bei Verstoß (Art. 7 Abs. 2 S. 2)29

5. Form30 – 37

a) Kein Schriftformerfordernis31, 32

b) Einwilligungserklärungen bei Einholung auf elektronischem Wege33, 34

c) Verständliche und leicht zugängliche Form sowie klare und einfache Sprache35

d) Konkludente Einwilligung und ihre Grenzen36, 37

6.Art. 7 Abs. 3: Der Widerruf der Einwilligung38 – 42

a) Freie Widerrufbarkeit38, 39

b)Folgen des Widerrufs40 – 42

aa) Ex nunc-Wirkung40

bb) Art. 17 Abs. 1 lit. b41

cc) Einschränkungen der freien Widerrufbarkeit42

7. Art. 7 Abs. 4: Freiwilligkeit und Zwanglosigkeit43 – 51

a) Freiwilligkeit44

b) Kopplungsverbot45

c) Kein absolutes Kopplungsverbot46

d) Grenze der Unzulässigkeit47

e) Kopplung bei entgeltfreier Vertragsleistung?48, 49

f) Kopplung bei klarem Ungleichgewicht (ErwG 43)50, 51

8. Verhältnis zu § 13 Abs. 2 TMG und § 94 TKG52

Literatur:

Albrecht Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Art.-29-Datenschutzgruppe Guidelines on Consent und der Regulation 2016/679, WP 259 (Entwurf); Babaei-Beigi/Katko Accountability statt Einwilligung? – Führt Big Data zum Paradigmenwechsel im Datenschutz?, MMR 2014, 360; Buchner Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; DSK Kurzpapier Nr. 20, Einwilligung nach der DS-GVO, Stand Februar 2019; Engeler Das überschätzte Kopplungsverbot, ZD 2018, 55; Golland Das Kopplungsverbot in der Datenschutz-Grundverordnung, MMR 2018, 130; Heselhaus/Nowak Handbuch der Europäischen Grundrechte, 2006; Jarass Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016; Kamp/Rost Kritik an der Einwilligung – Ein Zwischenruf zu einer fiktiven Rechtsgrundlage in asymmetrischen Machtverhältnissen, DuD 2014, 80; Kotschy The proposal for a new General Data Protection Regulation – problems solved?, International Data Privacy Law 2014, 274; Radlanski Das Konzept der Einwilligung in der datenschutzrechtlichen Realität, 2016; Rogosch Die Einwilligung im Datenschutzrecht, 2013; Schantz Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Sloot International Data Privacy Law 2014, 307; Spelge Der Beschäftigtendatenschutz nach Wirksamwerden der Datenschutz-Grundverordnung (DS-GVO), DuD 2016, 775; Spindler Die neue EU-Datenschutz-Grundverordnung, DB 2016, 937; Thüsing/Schmidt/Forst Das Schriftformerfordernis der Einwilligung nach § 4a BDSG im Pendelblick zu Art. 7, RDV 2017, 116; Uecker Die Einwilligung im Datenschutzrecht und ihre Alternativen, ZD 2019, 248; Veil Einwilligung oder berechtigtes Interesse? – Datenverarbeitung zwischen Skylla und Charybdis, NJW 2018, 3337; Wendehorst/Graf von Westphalen Das Verhältnis zwischen Datenschutz-Grundverordnung und AGB-Recht, NJW 2016, 3745; Wybitul EU-Datenschutz-Grundverordnung in der Praxis – Was ändert sich durch das neue Datenschutzrecht?, BB 2016, 1077.

1

Das Einverständnis des Betroffenen unterliegt kraft der DS-GVO höheren Anforderungen als noch in der DSRL[1]: Auch wenn eine Abkehr von dem Schriftformerfordernis gem. § 4a Abs. 1 S. 3 BDSG a.F. auszumachen ist, wechselt die Beweislast auf die Seite des Verantwortlichen.[2]

2

Damit eine Verarbeitung personenbezogener Daten rechtmäßig ist, bedarf es einer Einwilligung der betroffenen Person oder einer sonstigen zulässigen Rechtsgrundlage. Jede Verarbeitung i.S.v. Art. 4 Nr. 3stellt einen Grundrechtseingriff dar. Aus diesem Grund verlangt das Primärrecht in Art. 8 Abs. 2 S. 1 GRCh eine gesetzliche Grundlage samt der Bestimmung eines konkreten Zwecks als Rechtfertigung. Eine solche kann die Datenverarbeitung aber nur insofern legitimieren, sofern die Bedeutung der Zwecke das Gewicht des informationellen Selbstbestimmungsrechts des Betroffenen im konkreten Fall überwiegt. Alternativ dazu kann der Betroffene die Datenverarbeitung mittels Einwilligung legitimieren. Erfolgt die Datenverarbeitung nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person, liegt kein Eingriff in das Grundrecht auf informationelle Selbstbestimmung vor.[3]

3

Die Einwilligung selbst ist in Art. 4 Nr. 11definiert. Als solche qualifiziert werden kann „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

4

Art. 7bestimmt die Bedingungen für die Einwilligung, welche gem. Art. 6 Abs. 1 lit. adie Rechtmäßigkeit der Verarbeitung begründen kann. Die DS-GVO trifft keine Wertung darüber, ob die gesetzliche Grundlage oder die Einwilligung der vorrangige Erlaubnistatbestand für eine Datenverarbeitung ist.[4] Für die Rechtsanwendung ist dieser Umstand auch völlig unerheblich.

5

Eine rechtmäßige Einwilligung sieht eine Nachweispflicht auf Seiten des Verantwortlichen vor ( Art. 7 Abs. 1). Weitere Voraussetzungen sind sowohl die Freiwilligkeit ( Art. 7 Abs. 4) als auch die Transparenz und Eigenständigkeit der Einwilligung ( Art. 7 Abs. 2). Die Möglichkeit des Betroffenen, seine Einwilligung zu widerrufen ( Art. 7 Abs. 3), lässt die offenkundige Zielsetzung der EU-Gesetzgeber erkennen, den Gebrauch von Einwilligungen als legitimierende Grundlage zur Verarbeitung einzuschränken.[5]

6

Die Anforderungen an eine datenschutzrechtliche Einwilligung ergeben sich aus Art. 6 Abs. 1 lit. ai.V.m. Art. 7. Gem. Art. 6 Abs. 1 lit. alegitimiert eine Einwilligung die Verarbeitung personenbezogener Daten. Die Einwilligung muss nach der DS-GVO nicht mehr schriftlich erteilt werden; ausreichend ist nach der Definition in Art. 4 Nr. 11vielmehr eine „[. . .] in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Ein stillschweigendes Einverständnis, standardmäßig angekreuzte Kästchen oder die Untätigkeit des Betroffenen stellen nach ErwG 32 keine Einwilligung dar.[6] Die Nachweisbarkeit der Abgabe der Einwilligungserklärung ist – wie bisher – durch die verantwortliche Stelle zu führen ( Art. 7 Abs. 1und ErwG 42).

7

Für die Einwilligungserklärung eines Kindes im Bereich der Dienste der Informationsgesellschaft (insbesondere der Online-Vertrieb von Waren und Dienstleistungen, Online-Informationsangebote, die Online-Werbung etc.) gelten nach Art. 8besondere Bedingungen. Den nationalen Gesetzgebern steht es offen künftig eigene Festlegungen für die Einwilligung von Kindern zwischen dem vollendeten 13. und 16. Lebensjahr vorzunehmen.