David Klein - DS-GVO/BDSG

50

Das Erfordernis der Einwilligung oder der Zustimmung nach Abs. 1 UAbs. 1 S. 2wird durch die Vorschrift dahingehend ergänzt, dass der Verantwortliche zum Nachweis über die wirksame Einwilligung verpflichtet wird. Die Praxis steht hier vor der großen Herausforderung, geeignete und rechtssichere Wege für die Dokumentation zu finden. Gerade die Frage der Angemessenheit der Maßnahmen wird von den Datenschutzaufsichtsbehörden und letztendlich vom EuGH zu entscheiden sein.[67]

51

Nicht geregelt ist die in der Praxis ebenfalls bedeutsame Frage der Überprüfung des Alters des Erklärenden.[68] Hier wird man nach Sinn und Zweck der Regelung und wegen des Fehlens einer ausdrücklichen Vorgabe ebenfalls keine völlige Sicherheit, sondern allenfalls angemessene Anstrengungen fordern können und zugunsten eines Verantwortlichen, der solche angemessenen Anstrengungen unternimmt, von einer (ggf. fingierten) wirksamen Einwilligung ausgehen, solange er nicht positive Kenntnis von einer relevanten Falschangabe des Alters hat (siehe im Einzelnen Rn. 71 ff.).

52

Den Verantwortlichen treffen bezüglich der Einwilligung des Trägers der elterlichen Verantwortung Nachprüfungspflichten. Konkrete technische Überprüfungs- oder Verifikationsverfahren benennt die DS-GVO nicht. Art. 8stellt jedoch die Pflichten des Verantwortlichen unter den Vorbehalt der Angemessenheitund der verfügbaren Technik.[69]

53

Art. 8 Abs. 2verlangt (nur) angemessene Anstrengungen, die keine der auf Seiten des Verantwortlichen zu berücksichtigenden Gewährleistungen (namentlich Art. 15, 16, 17 GRCh) unverhältnismäßig einschränken.[70] Zur Beurteilung der Angemessenheit sind der finanzielle und organisatorische Aufwand des Verantwortlichen gegen Art, Umfang und Bedeutung der Datenverarbeitung abzuwägen.[71]

54

Hinsichtlich der verfügbaren Technikwird es darauf ankommen, welche technischen Möglichkeiten für die Vergewisserung der zutreffenden Autorisierung vorliegen.[72] Da sich die Technik fortlaufend entwickelt, sind die eingesetzten Überprüfungsmethoden kontinuierlich zu evaluieren und ggf. dem aktuellen Stand anzupassen.

55

Weiterhin wird bei der Frage der Bestimmung der erforderlichen Maßnahmen auch Art. 5 Abs. 1 lit. czu berücksichtigen sein, wonach die Verarbeitung von personenbezogenen Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss ( Grundsatz der Datenminimierung).[73]

56

Wie sich die Träger elterlicher Verantwortung praktikabel verifizieren lassen, ist von der Rechtspraxis zu beantworten (siehe Hinweise dazu bei Rn. 76 ff.). Die Norm verlangt Anstrengungen anzunehmen, doch dabei weiterhin dem Grundsatz der Verhältnismäßigkeit zu entsprechen.[74] Insbesondere besteht kein Register der Träger elterlicher Verantwortung, und es wäre auch unzumutbar und mit dem Grundsatz der Datenminimierung unvereinbar, ein solches aufbauen zu wollen.[75]

57

Abs. 2 verpflichtet den Verantwortlichen auch zur Dokumentation der erteilten Zustimmung. Daher ist Abs. 2 als eigener Rechtsgrund für die Erhebung von Daten der Träger elterlicher Verantwortung zu sehen.[76] Die Nachweispflicht folgt der generellen Rechenschaftspflicht gem. Art. 5 Abs. 2.

58

Die Rechtsfolgen einer fehlenden Dokumentation sind umstritten. Teilweise wird vertreten, dass die Rechtmäßigkeit oder Wirksamkeit der Einwilligung von der Erfüllung dieser Verpflichtung unabhängigsei; vielmehr diene die Vorschrift allein dem Verantwortlichen dahingehend, seiner Nachweispflicht hinsichtlich einer wirksamen Einwilligung nach Art. 7 Abs. 1nachzukommen.[77]

59

Allerdings verpflichtet die Vorschrift den Verantwortlichen, einen Nachweis hinsichtlich einer wirksamen Einwilligung nach Art. 7 Abs. 1beizubringen.[78] Als Teil der Anforderungen des Art. 8führt auch eine Missachtung des Art. 8 Abs. 2zur Unwirksamkeit der Einwilligungmit der Folge, dass die Datenverarbeitung rechtswidrig ist.[79]

60

Wenn sich die Verifikation trotz angemessener Anstrengungen später als fehlerhaft erweist, dürfte es ab dem Moment, in dem der Verantwortliche positive Kenntnis vom Fehlen der zunächst aufgrund angemessener Verifikationsanstrengungen angenommen Zustimmung hat, an der Rechtmäßigkeit der Datenverarbeitung gem. Art. 6 Abs. 1 lit. afehlen.[80] Ein bloßer Verdacht oder ein abstraktes Für-möglich-halten genügt insoweit aber nicht, da sonst die ausdrücklich geregelte Beschränkung auf angemessene Anstrengungen unterlaufen werden würde.[81]

61

Als Teil der aus Art. 8erwachsenden Pflichten kann eine Missachtung gem. Art. 83 Abs. 4 lit. a mit einem Bußgeld geahndet werden. Es ist sogar denkbar, einen solchen Verstoß aufgrund der kumulativen Anwendung mit Art. 7als Verstoß gegen die Beachtung der Bedingungen einer Einwilligung gem. Art. 83 Abs. 5 lit. a zu ahnden.[82]

62

Nach Art. 8 Abs. 3bleibt das allgemeine Vertragsrecht der Mitgliedstaaten von der Regelung des Art. 8unberührt. Die Regelung stellt damit klar, dass für andere Erklärungen als (datenschutzrechtliche) Einwilligungen das nationale Recht der Mitgliedstaaten (in Deutschland: §§ 104 ff. BGB) Anwendung findet.

63

Die DS-GVO nimmt damit Abweichungen zwischen Einwilligungsalter und (unbeschränkter) Geschäftsfähigkeit in Kauf und macht die datenschutzrechtliche Einwilligung nicht von der Geschäftsfähigkeit abhängig. Die mangelnde Kohärenz im Privatrecht innerhalb der EU schlägt hier unmittelbar auf das Datenschutzrecht durch, welches der Verordnungsgeber nicht abschließend genug geregelt hat, sodass das jeweilige nationale Zivilrecht konturierend Anwendung finden muss.

64

Umgekehrt führt die wirksame Einwilligung allerdings nicht automatisch zur Wirksamkeit eines Vertrages, der nach nationalem Recht unwirksam wäre. Die Wirksamkeit von (datenschutzrechtlicher) Einwilligung und der korrelierenden vertraglichen Vereinbarung sind unabhängig voneinander zu beurteilen (Trennungsprinzip).[83]

65

Gemäß Art. 8 Abs. 3sind nur direkte Auswirkungen auf das Vertragsrecht ausdrücklich ausgeschlossen. Fraglich ist, welche Ausstrahlungswirkungen, auch über das Vertragsrecht hinaus, möglich sind. Die rechtliche Bewertung der einwilligenden Handlungen Minderjähriger in anderen Rechtsgebieten wie dem Strafrecht oder dem Persönlichkeitsrecht bleibt trotz des Art. 8undeutlich.[84] Aufgrund des Anwendungsvorrangs der unmittelbar geltenden Verordnung kann Art. 8Auswirkungen auch in anderen Rechtsbereichen haben. Gleichwohl bleibt die Anwendbarkeit der DS-GVO auf ihren Anwendungsbereich beschränkt, wozu das Strafrecht aufgrund mangelnder Regelungskompetenz der EU in jedem Fall nicht zählen kann.

66

Aufgrund des eingeschränkten materiellen Anwendungsbereichs wird die Norm für öffentliche Stellen kaum Relevanz erlangen. Im Einzelfall ist aber natürlich dennoch denkbar, dass eine öffentliche Stelle einen Dienst der Informationsgesellschaft direkt einem Kind anbietet, insbesondere im Bereich der in ErwG 38 genannten Beratungs- und Präventionsdienste.

67

Die im Einzelfall erforderliche Einholung von Einwilligungserklärungen der Träger der elterlichen Verantwortung stellt den Anbieter vor nicht unerhebliche Herausforderungen, da es schwierig sein wird, deren Identität festzustellen und die Authentizität von Einwilligungserklärungen zu überprüfen.[85]