David Klein - DS-GVO/BDSG

11

Die Einwilligung ist die Entscheidung des Betroffenen, dem Verarbeiter die Verarbeitung von personenbezogenen Daten zu gestatten. Art. 6 Abs. 1 lit. adefiniert die Funktion der Einwilligung als Erlaubnistatbestand für eine Verarbeitung personenbezogener Daten. Innerhalb des Art. 6ist die Einwilligung zwar als erste Legitimation für eine Datenverarbeitung aufgeführt, hiermit geht aber keine Wertung einher. Ein Vorrang der Einwilligung vor anderen Erlaubnistatbeständen ist der DS-GVO fremd. Auch wenn sie die informationelle Selbstbestimmung des Betroffenen aus dessen Perspektive am besten zur Geltung bringt, so wird sie im Rahmen einer Gesamtschau der Umstände der Datenverarbeitung häufig ungeeignet sein, um die Ziele der DS-GVO zu erfüllen, weil das Instrument der Einwilligung „systematisch überfordert“ist.[26] Da der Einzelne durch die Anzahl und Komplexität der ihm abverlangten Entscheidungen und durch die Unabschätzbarkeit ihrer Auswirkungen überfordert ist, ist ein sachgerechter Umgang mit dem Rechtsinstitut faktisch häufig unmöglich und Ursache für einen Vertrauensverlust in der digitalen Gesellschaft.[27] Geht die Rechtmäßigkeit von einem anderen Erlaubnistatbestand als Art. 6 Abs. 1 lit. aaus, kommt es auf eine Einwilligung des Betroffenen nicht mehr an. Der Verantwortliche kann zwar grundsätzlich seine Datenverarbeitung auch auf mehr als einen Erlaubnistatbestand stützen, jedoch ist eine Einwilligung neben anderen Erlaubnistatbeständen dann ungeeignet, wenn hierdurch gegen das Erforderlichkeitserfordernis in Art. 6 Abs. 1 lit. boder das Kopplungsverbot in Art. 7 Abs. 4verstoßen wird.[28]

12

Die Einwilligung des Betroffenen in eine Datenverarbeitung legitimiert die Verarbeitung. Sie ist eine höchstpersönliche und deshalb jederzeit grundlos widerrufbare ( Art. 7 Abs. 3 S. 1 DS-GVO) Willenserklärung, die Rechtsfolgen auslöst, so dass sie einen rechtsgeschäftlichen Erklärungsgehalt hat.[29] Die Bewertung der Rechtsnatur der Einwilligung, mag sie auch mehr rechtstheoretischer Natur sein, als Realhandlung, ist ebenso missverständlich wie überflüssig.[30]

13

Die Wirksamkeitsanforderungen an die Einwilligung als Legitimierung der Datenverarbeitung sind an verschiedenen Stellen in der Verordnung normiert. Neben Art. 6 Abs. 1 lit. afinden sie sich in den Art. 4 Nr. 11, 7und 8.

14

Art. 6 Abs. 1 lit. alegt unmittelbar fest, dass die Einwilligung „für einen oder mehrere bestimmte Zwecke“ erteilt werden kann. Über den Zweckbzw. die Zwecke muss die betroffene Person vor oder bei der Erteilung der Einwilligung informiert werden.[31] Die jeweilige Einwilligung soll sich sodann auf alle zu diesen Zwecken vorgenommenen Verarbeitungsvorgänge beziehen.[32] Der Zweck der Verarbeitung ist so konkret wie möglich zu fassen, gleichwohl aber transparent und verständlich. Um diesen Anforderungen zu genügen, muss die Einwilligung sämtliche Verarbeitungsvorgänge im Sinne von Art. 4 Nr. 2abdecken. Als ungeschriebenes Tatbestandsmerkmal dürfte zu ergänzen sein, dass die Einwilligung vor Aufnahme der jeweiligen Verarbeitung einzuholen ist. Eine nachträgliche Genehmigunggenügt den Transparenzanforderungen aus Art. 5 nicht. In Fällen nachträglicher Genehmigungen ist vielmehr zu prüfen, ob die Einwilligung nicht konkludent abgegeben wurde und die Genehmigung lediglich der Dokumentation der bereits erteilten wirksamen Einwilligung dient.[33]

15

Art. 4 Nr. 11definiert die Einwilligung legal. Danach handelt es sich um eine Willensbekundung über das Einverständnis zur Verarbeitung personenbezogener Daten. Sie soll daher durch eine freiwillige, bestätigende Handlung erfolgen, die für einen konkreten Fall, in informierter Weise und unmissverständlich zum Ausdruck bringen, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Im Ergebnis statuiert Art. 4 Nr. 11eine Reihe von Wirksamkeitsvoraussetzungen für die Einwilligung.[34] Diese müssen erfüllt sein, um dem Rechtmäßigkeitstatbestand nach Art. 6 Abs. 1 lit. azu genügen.

16

Art. 7bestimmt weitere Voraussetzungen, deren Vorliegen konstitutiv für eine rechtmäßige Einwilligung sind. Eine rechtmäßige Einwilligung sieht danach eine Nachweispflicht auf Seiten des Verantwortlichen vor ( Art. 7 Abs. 1). Weitere Voraussetzungen sind sowohl die Freiwilligkeit ( Art. 7 Abs. 4), als auch die Transparenz und Eigenständigkeit der Einwilligung ( Art. 7 Abs. 2). Die Möglichkeit des Betroffenen, jederzeit seine Einwilligung zu widerrufen ( Art. 7 Abs. 3), lässt die offenkundige Zielsetzung des Verordnungsgebers erkennen, den Gebrauch von Einwilligungen als legitimierende Grundlage zur Verarbeitung einzuschränken.[35]

17

Die Einwilligung als Erlaubnistatbestand muss zu Gunsten eines jeden Verantwortlichen, der sich auf die Einwilligung berufen möchte, eingeholt werden. Dies gilt auch bei gemeinsam Verantwortlichen nach Art. 26.[36] Eine Einwilligung bei gemeinsamen oder mehreren Verantwortlichen kann von einem Verantwortlichen für alle eingeholt werden, sofern für den Betroffenen transparent erkennbar ist, wem gegenüber seine Erklärung gelten soll und welche Verantwortlichen auf Grundlage der Einwilligung seine personenbezogenen Daten verarbeiten werden.[37]

18

Sofern sich die Einwilligung auf von Art. 8erfasste Fälle bezieht, sind die darin spezifizierten Wirksamkeitserfordernisse einer Einwilligung von Minderjährigen zu beachten.[38]

19

Wird eine vorformulierte Einwilligungserklärungzusammen mit anderen Vertragspunkten in Allgemeinen Geschäftsbedingungen verwendet, hat sie insbesondere dem Transparenzgebot des Art. 5 Abs. 1 lit. azu genügen.[39] Maßstab für die Einhaltung des Transparenzgebots ist dabei die Richtlinie 93/13/EWG.[40] Wesentliches Kriterium ist hierbei, dass Betroffene den Umfang und die Konsequenzen der Verarbeitung, auf die sich die Einwilligung bezieht, erfassen können. Nicht erforderlich hingegen ist, dass Betroffene die Datenverarbeitung im Detail durchdringen.[41]

20

Die Einwilligung ist kein Novum, das mit der DS-GVO Einzug erhält. Gerade in der Rechtspraxis im nichtöffentlichen Bereich ist die vom Betroffenen abgegebene Einwilligung in die Verarbeitung seiner personenbezogenen Daten seit jeher von hoher Relevanz. Für die Rechtsanwendung steht damit die Frage im Raum, wie mit bereits vorliegenden Einwilligungen gem. der DSRL umzugehen ist. Dazu trifft die DS-GVO in ihren Erwägungsgründen eine klare Aussage: „Beruhen die Verarbeitungen auf einer Einwilligung gem. der Richtlinie 95/46/EG, so ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entspricht, so dass der Verantwortliche die Verarbeitung nach dem Zeitpunkt der Anwendung der vorliegenden Verordnung fortsetzen kann.“[42] Diese Sichtweise wird durch die Art.-29-Datenschutzgruppe in ihrem WP 259 unterstützt.[43]

21

Die Aufsichtsbehörden sind diesbezüglich zu dem Schluss gekommen, dass bisher rechtswirksame Einwilligungen diese Bedingungen grundsätzlich erfüllen, da insbesondere Informationspflichten nach Art. 13dafür nicht erfüllt sein müssen.[44]

22

Wurde die Einwilligung aber entgegen den Bestimmungen der DS-GVO von dem Betroffenen abgegeben, so ist die Verarbeitung der Daten unzulässig.[45] Besondere Beachtung verdient deswegen das Kriterium der Freiwilligkeit, die für eine rechtmäßige Einwilligung i.S.d. DS-GVO unabdingbar ist.[46]