David Klein - DS-GVO/BDSG

1

Ausweislich des ErwG 38 sind nach Ansicht des europäischen Gesetzgebers Kinder(die DS-GVO meint damit alle Minderjährigen, siehe unten Rn. 25) hinsichtlich der Preisgabe ihrer personenbezogenen Daten besonders schutzwürdig, da diese sich insbesondere über die mit der Verarbeitung personenbezogener Daten verbundenen Risiken und Folgen weniger bewusst sein werden. Gefahren werden dabei vor allem bei der Verwendung personenbezogener Daten von Kindern für Werbezwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen gesehen und bei der Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die Kindern direkt angeboten werden.

2

Um dem besonderen Schutz von Kindernzu entsprechen, wurde mit Art. 8eine Vorschrift in die DS-GVO eingefügt, welche die Anforderungen an die datenschutzrechtliche Einwilligung für und von Minderjährigen in einem Teilbereich, nämlich bei Diensten der Informationsgesellschaft, gesondert regelt.

3

Die im ErwG 38 erwähnte Ausnahme für Präventions- und Beratungsdiensteist unter dem Gesichtspunkt des Schutzes der Privatsphäre von Kindern einleuchtend, hat aber keinen Niederschlag im Verordnungstext gefunden. Auch ohne die rechtliche Verankerung innerhalb des Art. 8kann dem ErwG nach bei solchen Diensten die Einwilligung eines Kindes wirksam sein. Stets erforderlich dürfte insoweit aber die Einsichtsfähigkeit des Kindes sein. Die elterliche Einwilligung in die Inanspruchnahme der besagten Dienste ist ausdrücklich „nicht erforderlich“. Diese Möglichkeit gründet wohl auf der Annahme, dass Probleme mit den Eltern einen Grund für die Inanspruchnahme der Hilfe darstellen können.[1]

4

Zwar eröffnet Art. 8 Abs. 1 UAbs. 2die Möglichkeit, durch nationale Regelungen auch eine niedrigere Altersgrenze oberhalb des vollendeten 13. Lebensjahrs anzusetzen. Jüngere Kinder sind nach dieser Regelung gar nicht erst in der Lage, in die Verarbeitung ihrer personenbezogenen Daten einzuwilligen.[2] Der deutsche Gesetzgeber lässt diese Öffnungsklausel jedoch ungenutzt und weitet die Regelung nicht durch eine niedrigere Altersgrenze aus.

5

Auch soweit die DS-GVO keine Regelung zur Einwilligungsfähigkeit von Kindern trifft, füllt das BDSG die entstehende Lücke nicht ausdrücklich. Insoweit dürfte es bei der – umstrittenen – Rechtslage nach dem alten BDSG bleiben (siehe Kommentierung zu Art. 7und unten Rn. 11).

6

Weder die DSRLnoch das BDSGenthielten bislang eine mit Art. 8 vergleichbare, eigenständige Regelungzu den Bedingungen der Einwilligung von Kindern. Unter welchen Voraussetzungen Minderjährige in die Verarbeitung ihrer personenbezogenen Daten einwilligen konnten, war unter Geltung des BDSG in seiner bisherigen Fassung auch deshalb strittig.[3] Art. 8 Abs. 1legt nun aus Sicht des deutschen Rechts erstmals– zumindest in einem Teilbereich – eine präzise Altersgrenze für die Einwilligungsfähigkeit von Minderjährigen fest.

7

Die Fassung des Art. 8war dabei Gegenstand von sich zum Teil deutlich unterscheidenden Entwürfen von Seiten der Kommission und des Europäischen Rates, wobei insbesondere der Grad der Harmonisierung zwischen den etablierten Institutionen umstritten war.[4] Gelöst wurde dieser Konflikt insbesondere durch die Implementierung einer spezifischen Öffnungsklausel ( Art. 8 Abs. 1 UAbs. 2). Diese ermöglicht sektorale Teilregelungen in diesem einzelnen Regelungsfeld, das nur den sehr beschränkten Bereich der Einwilligung von Personen zwischen 13 und 16 Jahren bei der Nutzung von Diensten der Informationsgesellschaft betrifft.[5]

8

Unionsweit wird in der Konsequenz der spezifischen Öffnungsklausel eine variable Altersgrenze zwischen 13 und 16 Jahren für die Einwilligungsfähigkeit gelten (siehe auch unten Rn. 46 f.). Dieser Umstand steht der mit der DS-GVO verfolgten Vereinheitlichung des Datenschutzrechts entgegen.[6]

9

Neben Art. 8tragen auch weitere Vorschriften der DS-GVO (v.a. Art. 6 Abs. 1 lit. f; Art. 12 Abs. 1) dem besonderen Schutzbedarf von Kindern im Bereich des Datenschutzes Rechnung.[7] Zwingend für die wirksame Einwilligung von Minderjährigen bleibt, dass neben Art. 8auch die übrigen Anforderungen des Art. 6 Abs. 1 lit. ai.V.m. Art. 7erfüllt sind.

10

Art. 8sieht bei Diensten der Informationsgesellschaft, die einem Kind direkt angeboten werden, ergänzende Regelungen zu Art. 7 für die datenschutzrechtliche Einwilligungvor. Die Regelung des Art. 8besitzt jedoch nur einen eingeschränkten Anwendungsbereich. Es handelt sich somit nicht um generelle Vorgaben für die Einwilligungsfähigkeit von Minderjährigen.[8] Für die Einwilligungsfähigkeit von Kindern in allen anderen Konstellationen enthält die DS-GVO keine Regelung.[9]

11

In Abwesenheit unionsrechtlicher Vorgaben für die nicht von Art. 8geregelten Konstellationen gilt folglich weiterhin das nationale Recht. Ob eine Einwilligung eines Minderjährigen wirksam sein kann, hängt im deutschen Recht von der Einsichtsfähigkeit des im datenschutzrechtlichen Sinne Betroffenen ab und nicht von der bürgerlich-rechtlich geregelten Geschäftsfähigkeit.[10] Diese Überprüfung ist einzelfallbezogen durchzuführen. Grundsätzlich lässt sich in Anlehnung an die Rechtsprechung des BGH konstatieren, dass jedenfalls mit Vollendung des 16. Lebensjahres die Einsichtsfähigkeit in der Regel gegeben ist.[11] Dies schließt eine Einsichtsfähigkeit jüngerer Minderjähriger aber nicht aus, wobei teilweise eine Untergrenze von 7 Jahren vertreten[12] und häufig zumindest in der Tendenz eine Einsichtsfähigkeit auch bei 14- und 15-jährigen Minderjährigen angenommen wird.[13]

12

Kern der Regelung ist Art. 8 Abs. 1, der ein abgestuftes Schutzkonzept für Minderjährigebezüglich der von ihnen abgegebenen Einwilligung implementiert.[14] So soll ein Minderjähriger (vorbehaltlich abweichender nationaler Regelungen, siehe Rn. 45) erst ab einem Alter von 16 Jahren wirksam in die Verarbeitung seiner personenbezogenen Daten einwilligen können. Unter dieser Altersgrenze ist die Zustimmung des sog. Trägers der elterlichen Verantwortung zu der zuvor artikulierten Einwilligung des Kindes erforderlich, oder die Einwilligung wird allein vom Träger der elterlichen Verantwortung erteilt.[15]

13

Die Regelung beinhaltet ihrem Wortlaut nach („nur rechtmäßig“) absolute Altersgrenzen.[16] Auf die früher nach deutschem Recht nach h.M. für die Einwilligungsfähigkeit maßgebliche Einsichtsfähigkeit (vgl. Rn. 11) kommt es im Anwendungsbereich des Art. 8nicht mehr an. Vielmehr stellt Art. 8hier eine unwiderlegbare Vermutung der Einsichtsfähigkeitauf.[17] Die Bestimmung nimmt die Wertung vor, dass mit Vollendung des 16. Lebensjahrs von einer hinreichenden Einsichts- und Urteilsfähigkeit auszugehen ist.[18] Allerdings kommt eine Unwirksamkeit der Einwilligung nach allgemeinen Grundsätzen in Betracht (siehe Kommentierung zu Art. 6und Art. 4), was u.U. auch bei einer ganz untypisch verzögerten Entwicklung der Fall sein mag.

14

Der Anwendungsbereich der Vorschrift ist stark begrenzt.Er erfasst gem. Art. 8 Abs. 1 UAbs. 1 S. 1zum einen nur Konstellationen des Art. 6 Abs. 1 lit. a(einwilligungsbasierte Datenverarbeitungen), zum anderen nur das Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird.