David Klein - DS-GVO/BDSG

23

Ein Schriftformerfordernis wie noch aus dem BDSG a.F. bekannt enthält die DS-GVO nicht. Die ausdrückliche Einwilligung kann demzufolge auch elektronisch oder mündlich erklärt werden.[47] Der Formfreiheitsteht die Beweispflicht des Verantwortlichen für das Vorliegen einer Einwilligung gegenüber. In der Regel und vor allem bei erheblichen Gefährdungen für das Persönlichkeitsrecht des Betroffenen wird die schriftliche und deswegen am besten dokumentierbare Einwilligungserklärung – mit Blick auf die Rechenschaftspflicht nach Art. 5 Abs. 2, aber auch zum Schutz vor zivilrechtlicher Haftung – zu präferieren sein.[48] Je nach Verarbeitungssituation kann eine elektronisch abgegebene Einwilligung unter dem Gesichtspunkt der Datensparsamkeit und zur Einhaltung der Dokumentationspflicht ebenso oder besser geeignet sein wie eine schriftlich erteilte Einwilligung. Ein Medienbruch führt in der Regel zu einer erhöhten Anforderung an die Dokumentationspflicht. Eine Einwilligung kann (fern-)mündlich erteilt werden, sofern die Wirksamkeitsvoraussetzungen erfüllt werden. Im Rahmen der Dokumentation empfiehlt sich hier eine Bestätigung in Text- oder Schriftform an den Betroffenen sowie eine Dokumentation durch den Einholenden.

24

Im Sinne der den Datenschutz kennzeichnenden Transparenz ist die Einwilligungserklärung „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“[49] zu verfassen. Eine rechtmäßige Einwilligung kann nach Abkehr vom Schriftformerfordernis bereits durch eine eindeutige bestätigende Handlungerfolgen.[50] Damit ist eine wirksame Einwilligung bereits durch schlüssiges Verhalten (konkludente Einwilligung) möglich, das sich allerdings in einer nachweislichen, also dokumentierbaren, aktiven Handlung ausdrücken muss.[51]

25

Die Grenze, ab welcher die Einwilligung keine Rechtmäßigkeit mehr i.S.d. Art. 6 Abs. 1 lit. abegründet, beginnt spätestens beim Stillschweigen. Auch die bloße Untätigkeit der betroffenen Person stellt keine Einwilligung dar.[52] Die Abgrenzung einer Einwilligung durch konkludentes Verhalten von bloßer Untätigkeit wird in der Praxis Schwierigkeiten bereiten.[53] Dies gilt auch gerade im Hinblick auf mögliche sogenannte „Opt-Outs“ bei vorformulierten Einwilligungserklärungen, deren Zulässigkeit unter der DS-GVO nicht mehr gegeben ist.[54] Dies ergibt sich aus ErwG 32 S. 3 der DS-GVO und wurde durch den EuGH in der Planet49-Entscheidung noch einmal ausdrücklich bestätigt.[55] Für die Einwilligung in die Datenverarbeitung für Zwecke der Werbung[56] galt bis zum 25.5.2018 Folgendes: Für die datenschutzrechtlich wirksame Einwilligung genügt nach Auffassung des BGH ein „Opt-Out“[57], während für die lauterkeitsrechtliche Einwilligung ein „Opt-In“ notwendig ist. Seit dem 25.5.2018 sind diese Unterschiede eingeebnet, denn ab diesem Zeitpunkt gilt Art. 6 Abs. 1 lit. a DS-GVObzw. Art. 6 Abs. 1 lit. fsowie ErwG 47 S. 7.[58] Für die Rechtsanwendung wird die Eindeutigkeit der bestätigenden Handlung der Maßstab für die Wirksamkeit der Einwilligung sein (vertiefend zur Einwilligungsgestaltung bei online abzugebenden Erklärungen Art. 4 Nr. 11 Rn. 208 ff.). Zu den Anforderungen und Grenzen im Rahmen des Koppelungsverbots vgl. Art. 7 Rn. 48.

26

Auch hinsichtlich der Form einer wirksame Einwilligung nach der ePrivacy-RL in Verbindung mit der DSRL bzw. der DS-GVO hat der EuGH 2019 im Rahmen eines Vorabentscheidungsersuchens des BGH von 2017[59] entschieden, dass eine wirksame Einwilligung im konkreten Fall für die Verwendung von Cookiesbei einem voreingestellten Ankreuzkästchennicht vorliegt (hierzu sowie zur Frage nach dem Erfordernis einer Einwilligung für das Setzen von Cookies im nationalen Kontext vertiefend Rn. 168 ff.und Art. 4 Nr. 11 Rn. 211 ff.).

27

Besonderheiten bei der Einwilligung ergeben sich bei Bildaufnahmen von Personen. Grundsätzlich kommt als Rechtsgrundlage für die Anfertigung von Abbildungen jeder der Erlaubnistatbestände in Art. 6in Betracht, sofern nicht bereits die Bereichsausnahme des Art. 2 Abs. 2 lit. cAnwendung findet.[60]

28

In der Praxis kommt als taugliche Rechtsgrundlage insbesondere bei einer Vielzahl von Personen, die auf einer Abbildung zu erkennen sind, die Einwilligung jedoch nicht in Betracht. Der Verantwortliche wird die Wirksamkeitsanforderungen an eine Einwilligung nicht einhalten können. Stattdessen bietet sich in diesen Fällen das berechtigte Interesse der Person an, die diese Aufnahmen herstellt (vgl. dazu Art. 6 Abs. 1 lit. f Rn. 188sowie zur Abgrenzung zwischen Direkt- und Dritterhebung bei Bildaufnahmen und den hieraus resultieren Informationspflichten Art. 13 Rn. 52, 101 f., Art. 14 Rn. 100).[61] Der Sache nach ist auch der Anwendungsbereich des Art. 9betroffen, wenn die Abbildung mittelbar Rückschlüsse auf besondere Kategorien personenbezogener Daten ermöglicht, z.B. wenn die abgebildete Person eine Brille trägt oder eine Gehhilfe benötigt. Bei mittelbaren Hinweisen auf Daten i.S.v. Art. 9 Abs. 1wird jedoch eine einschränkende Auslegung des Art. 9vor dem Hintergrund seines Schutzzwecks diskutiert, der nur bei einer besonderen Zweckbestimmung einschlägig sein soll. Dies wäre etwa der Fall, wenn Fotografien getätigt werden, um im Rahmen einer Studie zur Fehlsichtigkeit festzustellen, wie viele Brillenträger sich durchschnittlich in der Bevölkerung befinden (vertiefend hierzu Art. 9 Rn. 165).

29

Die Regelungen des KUG hingegen finden ausschließlich auf eine spätere mögliche Veröffentlichung einer Abbildung einer Person Anwendung, nicht aber auf die Anfertigung oder weitere Verarbeitung.[62] Das KUG gilt allerdings nur im Umfang der Öffnungsklausel für den journalistischen, wissenschaftlichen, künstlerischen oder literarischen Bereich,[63] im Übrigen finden die allgemeinen Regeln in Art. 6auch auf die Veröffentlichung Anwendung.

30

Sofern das KUG im journalistischen Bereich Anwendung findet, sind die Regelungen der §§ 22, 23 KUG als eigenständige Ausformung der Öffnungsklausel des Art. 85 Abs. 2 anwendbar.[64] Die damit einhergehenden Inkohärenz in Bezug auf die unterschiedlichen Regelungen zur Einwilligung selbst und der Widerruflichkeit von Einwilligungen muss de lege lata hingenommen werden. Bei konsequenter Anwendung der Regelungen des Art. 6 Abs. 1dürften sich allerdings im Ergebnis keine tatsächlichen Unterschiede ergeben. So ist etwa der Fall eines Fotos, das in einem beruflichen Netzwerk durch den Betroffenen hochgeladen und sodann durch einen Nutzer weiterverbreitet wurde, sowohl nach KUG als auch nach DS-GVO so zu lösen, dass alleine im Hochladen keine konkludente Einwilligung zu sehen ist, die eine Weiterverbreitung erlaubt.[65]

31

Abzugrenzen ist der Widerruf zunächst vom Widerspruch. Während sich der Widerspruch[66] der betroffenen Person gegen eine rechtmäßige Datenverarbeitung auf Grundlage einer gesetzlichen Erlaubnisnorm richtet, handelt es sich beim Widerruf um die Rücknahme einer durch die betroffene Person vormals abgegebene Einwilligung.[67] Setzt sich ein Betroffener gegen eine Datenverarbeitung zur Wehr, ist seine Erklärung bei Falschbezeichnung in seinem Sinne auszulegen. Der Betroffene muss unmissverständlich zum Ausdruck bringen, was das Ziel seiner Erklärung ist. Anderenfalls besteht das Risiko, dass der Verantwortliche rechtswidrig personenbezogene Daten des Betroffenen löscht bzw. die Verarbeitung entgegen des tatsächlichen Willen des Betroffenen einschränkt.

32

Stützt ein Verantwortlicher seine Datenverarbeitung auf Art. 6 Abs. 1 lit. a, ist er gem. Art. 13 Abs. 2 lit. c und Art. 14 Abs. 2 lit. d verpflichtet, den Betroffenen über sein jederzeitiges Widerrufsrecht zu informieren.