David Klein - DS-GVO/BDSG

34

Eine zu beachtende Pflicht ist noch ergänzend in ErwG 32 S. 6 formuliert: „Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes.“ Dieses Gebot, welches an den ErwG 42 S. 3 („in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“) erinnert, stellt wohl aber nur eine unverbindliche, weil praktisch nicht zwangsweise durchsetzbare Zielvorgabe dar. Dem Verantwortlichen ist schließlich zur rechtssicheren Einwilligung zu raten, bei der die Form sich nicht immer dem Pragmatismus beugen kann (zur Einwilligungsgestaltung im elektronischen Datenverkehr auch Art. 4 Nr. 11 Rn. 213 ff.). Zwar muss der Verantwortliche der betroffenen Person eine Möglichkeit bieten, ohne Abgabe einer Einwilligung fortzufahren und z.B. eine Webseite zu nutzen. Nicht erforderlich ist es, eine ausdrückliche „Ja/Nein“-Auswahl anzubieten. Vielmehr genügt es, wenn der Betroffene klar erkennen kann, dass etwa die Verweigerung einer Einwilligung leicht möglich ist, z.B. durch Auswahl einer Schaltfläche mit der Beschriftung „weitere Informationen“ o.Ä., aus der die betroffene Person entnehmen kann, dass sie durch diese Auswahl gerade keine Einwilligung erteilt.

35

Im Sinne der den Datenschutz kennzeichnenden Transparenz ist die Einwilligungserklärung „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“[48] zu verfassen. Dieses Gebot gilt nicht nur im Fall des Art. 7 Abs. 1bei Abgabe einer schriftlichen Erklärung in anderer Sache, sondern im Allgemeinen.[49] Auch hier wird der Rechtssicherheit Vorzug zu geben sein, da ein Verstoß[50] gegen dieses Gebot nicht zur Unzulässigkeit der Verarbeitung führen kann.

36

Eine rechtmäßige Einwilligung kann nach Abkehr vom Schriftformerfordernis bereits durch eine eindeutige bestätigende Handlung erfolgen.[51] Damit ist eine wirksame Einwilligung bereits durch schlüssiges Verhalten (konkludente Einwilligung) möglich.[52]

37

Die Grenze, ab welcher die Einwilligung keine Rechtmäßigkeit mehr i.S.d. Art. 6 Abs. 1 lit. abegründet, beginnt spätestens beim Stillschweigen. Auch bereits angekreuzte Kästchen oder die bloße Untätigkeit der betroffenen Person stellt nach ErwG 32 keine Einwilligung dar (zur Eignung voreingestellter Ankreuzkästchen beim Setzen von Cookies Art. 4 Nr. 11 Rn. 214 ff.). Die Abgrenzung einer Einwilligung durch konkludentes Verhalten von bloßer Untätigkeit wird in der Praxis Schwierigkeiten bereiten.[53] Für die Rechtsanwendung wird die Eindeutigkeit der bestätigenden Handlung der Maßstab für die Wirksamkeit der Einwilligung.[54] Zur Sicherstellung der notwendigen Nachweisbarkeit einer Einwilligung empfiehlt es sich, technisch sicherzustellen, dass die bestätigende Handlung nur eine Deutungsmöglichkeit zulässt. Je geringer die Anforderung des Verantwortlichen an die bestätigende Handlung der betroffenen Person sind, desto höher sind die Anforderungen an die Transparenz.

38

Art. 7 Abs. 3normiert erstmals ausdrücklich, dass der Betroffene jederzeit seine Einwilligung widerrufen kann. Damit wird die grundrechtlich geschützte informationelle Selbstbestimmung insofern gewährleistet, dass das Datensubjekt von seiner eigenen eindeutig bejahenden Handlung Abstand nehmen kann und die damit gegebene Rechtmäßigkeit für eine Datenverarbeitung selbstständig entziehen kann.

39

Von seinem Recht kann er gem. Art. 7 Abs. 3 S. 1 „jederzeit“ Gebrauch machen. Eine Begründung für den Entzug dieses Legitimationstatbestands ist nicht erforderlich. Analog zur Formfreiheit der Einwilligung ist der Widerruf ebenfalls frei auszuüben ( Art. 7 Abs. 3 S. 3). Unstrittig kann für den Widerruf dieselbe Form wie bei der Einwilligung wirksame Anwendung finden. Im Sinne des Schutzziels dieser Bestimmung, der Ausübung informationeller Selbstbestimmung durch die Einwilligung des Betroffenen als Entscheidungsprärogative, darf der Widerruf nicht an der Form scheitern, so dass jedwede Form des Widerrufs als zulässig zu qualifizieren ist.[55] So dürfte der Widerruf im Rahmen eines Telefonanrufs zu Werbezwecken auch unmittelbar im Telefonat zulässig sein, sofern an der Identität des Gesprächspartners keine Zweifel bestehen. Hierzu sollte der Verantwortliche entsprechende Maßnahmen getroffen haben, um sicher ausschließen zu können, dass ein Unberechtigter das Widerspruchsrecht ausübt. Die Maßnahmen müssen spiegelbildlich zu einer sicheren Identifikation beim Anruf gewählt sein, etwa durch eine Zwei-Faktor-Authentifizierung.[56] Damit ist auch in technischer Hinsicht festgelegt, dass der Widerruf der Einwilligung so einfach wie möglich gestaltet sein muss.[57] Gleichermaßen besteht zudem die Möglichkeit die bestätigende Erklärung partiell – etwa bezogen auf bestimmte Datenarten oder einzelne Verarbeitungsformen – zu widerrufen.

40

Mit dem Widerruf entfällt die Rechtmäßigkeit einer Datenverarbeitung i.S.d. Art. 6 Abs. 1 lit. a. Vom Zeitpunkt des erklärten Widerrufs an ist die Verarbeitung personenbezogener Daten damit nicht mehr legitimiert und zulässig, sofern sich die Verarbeitung nicht noch auf eine andere Legitimation stützen kann.[59] Der Widerruf wirkt im Ergebnis ex nunc.[60] Gerade bei der Verarbeitung von Daten zu Forschungszwecken kann dies zu Problemen führen. Gleichwohl sind nach Ansicht der Art.-29-Datenschutzgruppe auch in diesem Falle die Daten zu löschen.[61] Insofern sind die Daten durch den Verantwortlichen zu anonymisieren, wenn er eine Löschung vermeiden will.

41

Nach einem Widerruf sind die entsprechend davon berührten Daten gem. Art. 17 Abs. 1 lit. b zu löschen, sofern sich ihre Verarbeitung nicht noch auf einen anderen Rechtfertigungsgrund stützen kann. Über das Recht zum Widerruf und seine Wirkung ist der Betroffene vor Abgabe der Einwilligung in Kenntnis zu setzen.[62]

42

Das Recht zum Widerruf einer Einwilligung gilt nur grundsätzlich. Als Ausnahme von diesem Grundsatz ist eine Einschränkung der freien Widerrufbarkeit dann möglich, wenn die auf einer Einwilligung gründende Datenverarbeitung für eine rechtsgeschäftliche Beziehung unverzichtbar ist.[63] Dies gilt allerdings nur in den Fällen, in denen spezialgesetzlich in Abweichung von der Systematik der DS-GVO die Anwendbarkeit von Art. 6 Abs. 1 lit. bausgeschlossen ist.[64]

43

Zu den materiellen Wirksamkeitsvoraussetzungen der Einwilligung gehört in besonderem Maße die Freiwilligkeit.

44

Die abgegebene Willensbekundung muss gem. Art. 4 Nr. 11„freiwillig“ erfolgen. D.h. der Betroffene muss seine Einwilligung grundsätzlich ohne Zwang erteilt haben, damit sie legitimierenden Charakter entfaltet. Die freiwillige Erteilung einer Einwilligung kann bereits dann in Zweifel gezogen werden, wenn dem Nutzer einer App die Nutzung der selbigen deshalb verwehrt bleibt, weil er nicht in die Erhebung seiner Daten zum Zweck der personalisierten Werbung einwilligt.[65] Von der Freiwilligkeit ist dagegen auszugehen, wenn dem Betroffenen klar aufgezeigt wird, dass ihm durch die Nichterteilung keine negativen Konsequenzen entstehen und er eine echte Wahl hat. Bittet zum Beispiel eine öffentliche Schule die Schüler um ihre Zustimmung, ihre Fotos in einer gedruckten Studentenzeitschrift zu verwenden mit der Möglichkeit die Zustimmung zu verweigern, ohne dass daraus erkennbare Nachteile folgen, haben die Betroffenen eine echte Wahl.[66]