Tobias Rothkegel - Praxishandbuch DSGVO

Klauselmuster540

304

Ich bin einverstanden, dass die Versicherung XY die von mir in diesem Antrag und künftig mitgeteilten Gesundheitsdaten verarbeitet*, soweit dies zur Antragsprüfung und zur Erfüllung des Versicherungsvertrages erforderlich ist. Meine Einwilligung gilt bis auf Widerruf, den ich jederzeit mit Wirkung für die Zukunft, z.B. per E-Mail unter widerruf@versicherung-xy.de erklären kann. Die Antragsprüfung und Begründung des Versicherungsvertrages werden bei Nichterteilung oder Widerruf der Einwilligung gegebenenfalls unmöglich. Weitere Informationen zur Verarbeitung personenbezogener Daten durch die Versicherung XY sowie zu meinen Rechten als betroffene Person finde ich unter [...].

* „Verarbeiten“ bedeutet jeder ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten im Sinne von Art. 4 Nr. 2 DSGVO wie z.B. das Erheben, die Speicherung oder die Verwendung, nicht jedoch die Übermittlung. Die Versicherung XY wird ihre personenbezogenen Daten ohne Ihre gesonderte oder eine gesetzliche Erlaubnis nicht an Dritte übermitteln.

305

Für die unternehmerische Praxis ist die Frage von großer Bedeutung, inwieweit auch nach Beginn der Geltung der DSGVO541 noch auf die Wirksamkeit von Einwilligungen in die Datenverarbeitung vertraut werden kann, die im Einklang mit der Datenschutzrichtlinie 95/46/EG eingeholt worden sind. Eine vage Antwort gibt Erwägungsgrund 171 S. 2 zur DSGVO, nach dem eine erneute Erteilungeiner Einwilligung nicht erforderlichist, „ wenn die Art der bereits erteilten Einwilligungen den Bedingungen dieser Verordnung entspricht “. Nach dem Wortlaut des Erwägungsgrundes 171 S. 2 zur DSGVO müssten Alt-Einwilligungen somit sämtliche Wirksamkeitsvoraussetzungengemäß den Vorschriften der DSGVO erfüllen, damit sie am 25.5.2018 nicht ihre Geltung verloren haben.

Praxishinweis

In der Praxis empfiehlt es sich, Alt-Einwilligungen zu erneuern, wenn diese:

– ohne geeignete Nachweise wie z.B. Logfiles bei elektronischer Abfrage eingeholt wurden;542

– ohne implementiertes und kommuniziertes Verfahren für den einfachen Widerruf der Einwilligung nachgesucht wurden;543

– nicht eindeutig und aktiv zum Ausdruck gebracht wurden, z.B. bei bereits angekreuzten Checkboxen;544

– an den Abschluss eines Vertrages gekoppelt wurden, obwohl sie für die Vertragserfüllung nicht erforderlich waren;545

– von einem Kind erteilt wurde, welches das 16. Lebensjahr noch nicht vollendet hatte, soweit im nationalen Recht nichts anderes bestimmt ist, Art. 8 Abs. 1 i.V.m. Erwägungsgrund 38 zur DSGVO.546

306

Für den Fortbestand von Alt-Einwilligungen ist es hingegen unschädlich, wenn lediglich die erweiterten Informationspflichtengemäß Art. 13 und 14 DSGVO nicht beachtet wurden, soweit deren Erfüllung nicht als Bedingung für eine gültige Einwilligung in Kenntnis der Sachlage angesehen wird.547

369Vgl. Albrecht, CR 2016, 88, 91. 370So etwa auch: Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien; Ehrmann/Selmayr/Heckmann/Paschke, Art. 7 DSGVO Rn. 17; Piltz, K&R 2016, 557, 562; a.A. wohl Paal/Pauly/Frenzel, Art. 7 DSGVO Rn. 1. 371Siehe dazu auch Kap. 17 B Rn. 140ff. 372Siehe Einzelheiten in Kap. 17 A Rn. 1ff. 373Vgl. Art. 95 DSGVO. 374COM (2017) 10 final, 2017/0003 (COD). 375Vgl. Dossier des EU-Rats, https://bit.ly/2Q4587x, zuletzt abgerufen am 11.1.2021. 376https://bit.ly/37XpOXK, zuletzt abgerufen am 11.1.2021. Ob es der nachfolgenden portugiesischen EU-Ratspräsidentschaft gelungen ist, einen Kompromiss zu erzielen, war bei Verfassen dieses Kapitels noch offen. 377Beide Vorschriften sehen als Rechtfertigung für Direktwerbung eine „ausdrückliche“ Einwilligung vor, die gemäß Art. 2 S. 2f, Erwägungsgrund 17 der ePrivacy-Richtlinie 2002/58 i.V.m. Art. 94 Abs. 2 S. 1, Art. 4 Nr. 11 DSGVO im nationalen Recht nicht verlangt werden kann, vgl. auch EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705, Rn. 47, 50 – Planet49; BGH, Urt. v. 28.5.2020 – I ZR 7/16, NJW 2020, 2540 – Cookie-Einwilligung II; Köhler/Bornkamm/Feddersen/Köhler, § 7 UWG Rn. 149, 149e; Kühling/Buchner/Kühling/Raab, Art. 95 DSGVO Rn. 7. Das Wort „ausdrückliche“ muss daher jeweils gestrichen bzw. weggedacht werden. Einzelheiten siehe Kap. 17 B Rn. 148. 378Eine Änderung des UWG wurde auch im 2. DSAnpUG-EU vergessen, https://bit.ly/2Q7ldcC, zuletzt abgerufen am 11.1.2021. 379Das Gesetzgebungsverfahren war bei Verfassen dieses Kapitels noch nicht abgeschlossen. Unter https://bit.ly/3sqJ3Bb ist der Bearbeitungsstand eines Referentenentwurfs vom 12.1.2021 für ein „Telekommunikations-Telemedien-Datenschutz-Gesetz – TTDSG“, zuletzt abgerufen am 15.1.2021, veröffentlicht worden. 380EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705 – Planet49. 381Vgl. Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, S. 6. 382In Art. 2h RL 95/46/EG ist die Einwilligung definiert als „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt“. Art. 7a RL 95/46/EG verlangt zusätzlich, dass die Einwilligung „ohne jeden Zweifel“ gegeben wurde. 383Siehe dazu Rn. 303ff. 384Vgl. Art. 22 Abs. 2c DSGVO. 385Vgl. Art. 49 Abs. 1a DSGVO. 386Vgl. Albrecht, CR 2016, 88, 91. 387Erwägungsgrund 32 S. 3 DSGVO. 388EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705 – Planet49; BGH, Urt. v. 28.5.2020 – I ZR 7/16, NJW 2020, 2540 – Cookie-Einwilligung II; Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 77ff..; Ehrmann/Selmayr/Heckmann/Paschke, Art. 7 DSGVO Rn. 20; vgl. zur Aufsichtspraxis in Deutschland auch Datenschutzkonferenz, Kurzpapier Nr. 20 Einwilligung nach der DSGVO, https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_20.pdf, S. 1. 389EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705, Rn. 59ff. – Planet49. 390EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705, Rn. 55 – Planet49. 391Datenschutzkonferenz, Kurzpapier Nr. 20, S. 1; Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf, S. 8, zuletzt abgerufen am 11.1.2021. 392Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 81, 84, 86. 393Vgl. Köhler/Bornkamm/Köhler, § 7 UWG Rn. 145a; BGH, Urt. v. 16.7.2008 – VIII ZR 348/06, K&R 32008, 678 – PAYBACK; vgl. zu etwaigen weiteren Anforderungen auch Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 92ff.. 394So im Ergebnis auch Piltz, CR 2016, 557, 563, und Krohm, ZD 2016, 368, 372. 395Vgl. Krohm, ZD 2016, 368, 372; a.A. wohl Österreichische Datenschutzbehörde, dsb Newsletter 4/2020, S. 1, 2, https://bit.ly/2LdnraN, zuletzt abgerufen am 11.2.2021 396Schlussanträge des GA Maciej Szpunar v. 21.3.2019 i.S. C-673/17, Rn. 89, https://bit.ly/2tiZ3ex, zuletzt abgerufen am 11.1.2021. 397Darauf könnten die pauschalen Ausführungen des EuGH in Rn. 58–60 des Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705 – Planet49, hindeuten. 398So Hanloser, https://bit.ly/35iT9rc, zuletzt abgerufen am 11.1.2021. 399So wohl Moos/Rothkegel, MMR 2019, 736, 738. 400EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România. 401Siehe Einzelheiten unter Rn. 292. 402Österreichische Datenschutzbehörde, dsb Newsletter 4/2020, S. 1, 2, https://bit.ly/2LdnraN, zuletzt abgerufen am 11.2.2021. 403Vgl. Art. 9 Abs. 2a, Art. 22 Abs. 2c und Art. 49 Abs. 1a DSGVO. 404Erwägungsgrund 32 S. 6 DSGVO. 405Definition gem. Art. 2a der eCommerce-Richtlinie 2000/31/EG i.V.m. Art. 1 Nr. 2 RL 98/34/EG in der Fassung der RL 98/48/EG. 406Erwägungsgrund 32 S. 6 DSGVO. 407Vgl. BayLDA, Verarbeitung personenbezogener Daten für Werbung, https://www.lda.bayern.de/media/baylda_ds-gvo_12_advertising.pdf. 408Vgl. Härting, Teil B. III. Rn. 362f.; Gola/Schulz, Art. 7 DSGVO Rn. 47. 409Vgl. EuGH, Urt. v. 19.11.1998 – C-162/97, Rn. 54 – Nilsson; EuGH, Urt. v. 24.11.2005 – C-136/04, Rn. 32 – Deutsches Milch-Kontor. 410Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 82; ähnlich Moos/Rothkegel, MMR 2019, 736, 738. 411So jedenfalls die Ansicht der deutschen Aufsichtsbehörden, vgl. Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, S. 9. 412Fraglich ist, ob auch Browsereinstellungen umfasst sind, nachdem der entsprechende Entwurf des Europäischen Rats im Trilog nicht aufgegriffen wurde, vgl. Spindler, DB 2016, 937, 940. 413Eine entsprechende Fragmentierung von Informationen hat etwa die französische Aufsichtsbehörde CNIL im Rahmen eines Bußgeldverfahrens gegen die Google LLC beanstandet, https://bit.ly/36jxn82, zuletzt abgerufen am 11.1.2021. 414Vgl. entsprechende Lösungsvorschläge bei Pohlmann/Kipker, DuD 2016, 378, 379ff. 415A.A. Ehmann/Selmayr/Selk, Art. 88 DSGVO Rn. 76; Kühling/Buchner/Maschmann, Art. 88 DSGVO Rn. 30ff. 416Vgl. Paal/Pauly/Pauly, Art. 88 DSGVO Rn. 4; Thüsing, NZA 2019, 1399, 1400 m.w.N. 417BT-Drs. 19/11181, S. 19. 418Siehe Einzelheiten zu den Nachweispflichten und -möglichkeiten unter Rn. 292ff. 419Thüsing, NZA 2019, 1399, 1401. 420Erwägungsgrund 42 S. 5 DSGVO. 421Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 46ff.; BGH, Urt. v. 16.7.2008 – VIII ZR 348/06, K&R 32008, 678 – PAYBACK (noch zur alten Rechtslage). 422Art. 7 Abs. 4 und Erwägungsgrund 43 S. 2 Alt. 2 DSGVO. 423Erwägungsgrund 43 S. 2 Alt. 3 DSGVO. 424Erwägungsgrund 43 S. 1 DSGVO. 425Art. 15 und 16 der EU-Grundrechtecharta. 426Art. 6 der EU-Grundrechtecharta. 427Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 26. 428Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, V.2 Rn. 54. 429So der Europäische Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, V.2 Rn. 22, 32, 36. 430RL 2019/770. 431Art. 3 Abs. 8 der RL 2019/770. 432Staudenmayer, NJW 2019, 2497, 2498. 433Vgl. Erwägungsgrund 24 RL 2019/770. Entsprechende Geschäftsmodelle scheinen die deutschen Aufsichtsbehörden auch datenschutzrechtlich anzuerkennen, soweit sie lediglich eine klare und verständliche Darstellung der vertraglich ausbedungenen Gegenleistung bei Vertragsschluss fordern, vgl. Datenschutzkonferenz, Kurzpapier Nr. 3, S. 2. Womöglich ist diese Auffassung mittlerweile aber überholt. 434So auch Kühling/Buchner/Buchner/Kühling, Art. 7 DSGVO Rn. 46ff.; Ehrmann/Selmayr/Heckmann/Paschke, Art. 7 DSGVO Rn. 94ff.; Gola/Schultz, Art. 7 DSGVO Rn. 24ff.; Plath/Plath, Art. 7 DSGVO Rn. 15; Paal/Pauly/Frenzel, Art. 7 DSGVO Rn. 18; Engeler, ZD 2018, 55, 59; Generalanwalt beim EuGH Szpunar, Schlussanträge v. 21.3.2019 in der Rs. C 673/17 – Planet49; Österreichische Datenschutzbehörde, Bescheid v. 30.11.2018, https://bit.ly/2JIBVyL, zuletzt abgerufen am 11.1.2021; Niederländische Datenschutzbehörde, Nachricht v. 7.3.2019, https://bit.ly/3ohbFKL, zuletzt abgerufen am 11.1.2021. Differenzierend: Taeger/Gabel/Taeger, Art. 7 DSGVO Rn. 85ff.; a.A. BeckOK-DS/Stemmer, Art. 7 DSGVO Rn. 40ff.; Härting, Teil B. III. Rn. 395; Dammann, ZD 2016, 307, 11. Für ein Regel-/Ausnahmeverhältnis OGH Wien, Urt. v. 31.8.2018 – 6 Ob140/18h, BeckRS 2018, 30960. 435Mit der Formulierung „unter anderem die Erfüllung eines Vertrages“ sind in erster Linie Vertragsschlüsse, aber wohl auch andere ähnliche Zwangssachverhalte gemeint, vgl. Gola/Schulz, Art. 7 Art. 7 DSGVO Rn. 24f. 436So etwa auch Gola/Schulz, Art. 7 DSGVO Rn. 27; a.A. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 38. 437OLG Frankfurt am Main, Urt. v. 27.6.2019 – 6 U 6/19, ZD 2019, 507. 438Generalanwalt beim EuGH Szpunar, Schlussanträge v. 21.3.2019 in der Rs. C 673/17 – PLANET49. Der EuGH hat diese Frage mangels Entscheidungserheblichkeit offengelassen. 439Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V.1.1 Rn. 46ff., 114. 440So etwa in Fällen des Art. 9 DSGVO oder des Art. 13 der ePrivacy-Richtlinie 2002/58/EG. 441Vgl. die Rechtsprechung des BGH (Urt. v. 16.7.2008 – VIII ZR 348/06, K&R 32008, 678 – Payback; Beschl. v. 14.4.2011 – I ZR 38/10) zum angeblich aus der ePrivacy-Richtlinie 2002/58/EG abzuleitenden Erfordernis der gesonderten Einwilligung für E-Mail- bzw. Telefonwerbung. 442Erwägungsgrund 43 S. 2. 443Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 42ff., 57. 444So auch Schantz, NJW 2016, 1841, 1845; Richter, PinG 2016, 185, und Buchner, DuD 2016, 155, 158. 445Kettner/Thorun/Spindler, Innovatives Datenschutz-Einwilligungsmanagement, S. 48, 71, https://bit.ly/38kcMnx, zuletzt abgerufen am 11.1.2021. 446Erwägungsgrund 32 S. 6, siehe oben Rn. 251. 447Anerkannt und ebenfalls empfohlen von Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 69, und der Art.-29-Datenschutzgruppe, WP 260 rev.01, S. 8, 24 (vom EDSA bestätigt), und der französischen Aufsichtsbehörde CNIL, Draft Recommendation Cookies and other trackers, https://bit.ly/31aZaG1, zuletzt abgerufen am 11.1.2021, S. 12. 448Ähnlich Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 17ff. mit weiteren Beispielen. 449Vgl. Erwägungsgrund 34 S. 2 im Vorschlag der Europäischen Kommission v. 25.1.2012, KOM(2012) 11 endgültig, 2012/0011 (COD). 450Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 21. 451Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 22f., und zum früheren Recht in Deutschland schon BAG, Urt. v. 11.12.2014 – 8 AZR 1010/13. 452BT-Drs. 1811325, S. 96. 453BT-Drs. 1811325, S. 97. 454So auch Laue/Kremer/Kremer, § 2 Rn. 20; vgl. aber bei mangelnden Alternativen im Versicherungswesen BVerfG, Beschl. v. 23.10.2006 – 1 BvR 2027/02. 455So aber Härting, Teil B. III. Rn. 401. 456Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 13. 457Art. 4 Nr. 11 DSGVO. 458Erwägungsgrund 32 S. 1. 459Vgl. Art. 2h RL 95/46/EG. 460Erwägungsgrund 32 S. 4f. 461Vgl. schon Art.-29-Datenschutzgruppe, WP 187, S. 20f. 462Vgl. Art. 6 Abs. 1a, Erwägungsgrund 42 S. 4. 463Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 65. 464Vgl. Paal/Pauly/Ernst, Art. 4 DSGVO Rn. 83; Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 64; EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România; Art.-29-Datenschutzgruppe, WP 260 rev.01, S. 8 (vom EDSA bestätigt) sowie schon Art.-29-Datenschutzgruppe, WP 187, S. 23. 465EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România. 466So auch Krohm, ZD 2016, 368, 373; a.A. Härting, Teil B. III. Rn. 368, der stets eine Aufzählung aller konkreten Arten von Daten und Datenbeständen fordert. 467So auch Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 64, 72; Moos/Rothkegel, MMR 2019, 736, 740. 468EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România. 469Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 67. 470Vgl. auch die Transparenz-Leitlinien der Art.-29-Datenschutzgruppe, WP 260 rev.01, S. 6ff. (vom EDSA bestätigt) und die verhaltenswissenschaftliche Perspektive bei Kettner/Thorun/Spindler, Innovatives Datenschutz-Einwilligungsmanagement, S. 43ff., https://bit.ly/38kcMnx, zuletzt abgerufen am 11.1.2021. 471Vor diesem Hintergrund wird der Mehrebenenansatz ausdrücklich auch vom EDSA empfohlen, vgl. Art.-29-Datenschutzgruppe, WP 260 rev.01, S. 23f. (vom EDSA bestätigt). 472Missverständlich insoweit EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România, siehe Rn. 292. 473OLG Frankfurt/Main, Urt. v. 17.12.2015 – 6 U 30/15, bestätigt durch BGH, Urt. v. 28.5.2020 – I ZR 7/16, NJW 2020, 2540 – Cookie-Einwilligung II; vgl. auch Paal/Pauly/Ernst, Art. 4 DSGVO Rn. 86, und Pollmann/Kipker, DuD 2016, 378, 379, die eine vollständige Informiertheit infolge zunehmender Komplexität der Datenverarbeitung im Internet für unrealistisch halten. 474Vgl. Kettner/Thorun/Spindler, Innovatives Datenschutz-Einwilligungsmanagement, S. 106, https://bit.ly/38kcMnx, zuletzt abgerufen am 11.1.2021. 475BGH, Urt. v. 16.7.2008 – VIII ZR 348/06, K&R 32008, 678 – Payback; BGH, Urt. v. 25.10.2012 – I ZR 169/10 – Einwilligung in Werbeanrufe II; hinsichtlich dieser Voraussetzung kritisch Köhler/Bornkamm/Köhler, § 7 UWG Rn. 152. 476Vgl. Simitis/Hornung/Spiecker gen. Döhmann/Klement, Datenschutzrecht, Art. 7 DSGVO Rn. 80f. 477Erwägungsgrund 42 S. 3 DSGVO; Art. 5 RL 93/13/EWG; für Deutschland vgl. § 307 BGB; siehe Einzelheiten dazu oben unter Rn. 275. 478Erwägungsgrund 42 S. 4 DSGVO; Art. 3 RL 93/13/EWG; für Deutschland vgl. auch § 307 BGB. 479Siehe Kap. 17 B Rn. 144 zu Beispielen aus der deutschen AGB-Rechtsprechung über Werbeeinwilligungen auf der Schnittstelle von Datenschutz- und Wettbewerbsrecht. 480Vgl. BGH, Urt. v. 28.5.2020 – I ZR 7/16, NJW 2020, 2540 – Cookie-Einwilligung II. Wendehorst/Graf v. Westphalen, NJW 2016, 3745, 3749, und Schantz, NJW 2016, 1841, 1844, sehen jeweils einen umfassenden Prüfungsmaßstab über die DSGVO hinaus. 481Art. 5 S. 2 RL 93/13/EWG und § 305c Abs. 2 BGB. 482Insoweit missverständlich EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705, Rn. 58–60 – Planet49; siehe dazu oben Rn. 250; a.A. contra legem wohl Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 81, und Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, V. 2 Rn. 20, und Österreichische Datenschutzbehörde, dsb Newsletter 4/2020, S. 1, 2, https://bit.ly/2LdnraN, zuletzt abgerufen am 11.2.2021. 483EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România. 484Vgl. § 4a Abs. 1 S. 4 BDSG a.F. 485Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 71; Paal/Pauly/Ernst, Art. 4 DSGVO Rn. 85. 486Vgl. § 305c Abs. 1 BGB, der im deutschen AGB-Recht eine Ausprägung des Transparenzgebots nach Art. 5 S. 1 RL 93/13/EWG darstellt. 487Im Ergebnis so auch Paal/Pauly/Ernst, Art. 4 DSGVO Rn. 85. 488Erwägungsgrund 32 S. 1; so auch Laue/Kremer/Kremer, § 2 Rn. 8. 489Art. 7 Abs. 2 S. 2 DSGVO; Art. 6 Abs. 1 RL 93/13/EWG, in Deutschland umgesetzt durch §§ 306ff. BGB. 490EuGH, Urt. v. 30.5.2013 – C-488/11. 491St. Rspr. des BGH, vgl. etwa BGH, Urt. v. 26.2.2009 – Xa ZR 141/07; MüKo-BGB/Basedow; § 306 Rn. 22f. m.w.N. 492Vgl. MüKo-BGB/Basedow; § 306 Rn. 10. 493Siehe oben Rn. 257. 494Vgl. Albrecht/Jotzo, Teil 3 Rn. 41 und Teil 4 Rn. 8. Gegen eine Bedingung: Ehrmann/Selmayr/Heckmann/Paschke, Art. 7 DSGVO Rn. 89. 495Art. 83 DSGVO. 496Vgl. Art. 3 Abs. 8 der Richtlinie 2019/770 über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen. 497Vgl. Spindler, DB 2016, 937, 940. 498Vgl. Krohm, ZD 2016, 368, 373; OLG Frankfurt/Main, Urt. v. 15.11.2004 – 23 O 155/03; zweifelnd: Tavanti, RDV 2016, 231, 238. Dagegen Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 26, 114. 499Vgl. Paal/Pauly/Frenzel, Art. 7 DSGVO Rn. 7. 500Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 123; Österreichische Datenschutzbehörde, dsb Newsletter 4/2020, S. 1, 2, https://bit.ly/2LdnraN, zuletzt abgerufen am 11.2.2021. 501So auch Tinnefeld/Conrad, ZD 2018, 391, 393. 502A. A. in einer über die Grenze des Wortlauts hinausgehenden Auslegung: Plath/Kamlah, Art. 13 DSGVO Rn. 20. 503Siehe weitere Beispiele bei Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 114f. 504Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027. 505Diese Platzierung hat aus Sicht des Verantwortlichen zugleich den willkommenen Effekt, dass eine Einwilligung aus verhaltenswissenschaftlicher Perspektive am Ende eines Bestellprozesses bereitwilliger gegeben wird als am Anfang, vgl. Kettner/Thorun/Spindler, Innovatives Datenschutz-Einwilligungsmanagement, S. 48, https://bit.ly/38kcMnx, zuletzt abgerufen am 11.1.2021. Kritisch dagegen Österreichische Datenschutzbehörde, dsb Newsletter 4/2020, S. 1, 2, https://bit.ly/2LdnraN, zuletzt abgerufen am 11.2.2021. 506Sonst ist die Beweisführung deutlich erschwert, vgl. EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România. 507Konsequenz aus EuGH, Urt. v. 11.11.2020 – C-61/19, BeckRS 2020, 30027 – Orange România. 508Vgl. BGH, Urt. v. 10.2.2011 – I ZR 164/09, K&R 2011, 587 – Double-Opt-in-Verfahren. 509§ 13 Abs. 2 Nr. 2 TMG; § 94 TKG; § 28 Abs. 3a BDSG a.F. 510So auch Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 108, und Datenschutzkonferenz, Kurzpapier Nr. 20, S. 2. 511So auch Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, S. 9. Die Österreichische Datenschutzbehörde sieht in der Verwendung eines Single-Opt-in- statt eines Double-Opt-in-Verfahrens sogar einen Verstoß gegen Art. 32 DSGVO, https://bit.ly/2GZYTMw, zuletzt abgerufen am 11.1.2021. 512Vgl. LG München I, Urt. v. 8.4.2010 – 17 HK O 138/10; LG Stuttgart, Urt. v. 13.8.2006 – 38 O 17/06. 513So auch Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 110; Gola/Schultz, Art. 7 DSGVO Rn. 58, und BGH, Urt. v. 1.2.2018 – III ZR 196/17, GRUR 2018, 545. Unverständlich daher die Hinweise der Datenschutzkonferenz auf die durch Gesetzgebung und höchstrichterliche Rechtsprechung überholte zivilrechtliche Instanzrechtsprechung zum vermeintlichen Verfall von Einwilligungen, Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, S. 10. 514Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 111. 515Vgl. Jachimowicz/Duncan/Weber/Johnson, When and why defaults influence decisions: a meta-analysis of default effects, https://bit.ly/372dOS9; Samuelson/Zeckhauser, Status Quo Bias in Decision Making, https://bit.ly/38p9MWV; Kettner/Thorun/Spindler, Innovatives Datenschutz-Einwilligungsmanagement, S. 48, 102ff., https://bit.ly/38kcMnx, alle zuletzt abgerufen am 11.1.2021. 516Klauselmuster für eine Einwilligung finden sich bei Verarbeitung von sensiblen Daten unter Rn. 304 und für eine Werbeeinwilligung in Kap. 17 B Rn. 150. 517Art. 4 Nr. 25 DSGVO i.V.m. Art. 1 Abs. 1b RL 2015/1535/EU. 518Vgl. Gola/Schulz, ZD 2013, 475, 478; Laue/Kremer/Kremer, § 2 Rn. 57 sowie die Beispiele bei Möhrke-Sobolewski/Klas, K&R 2016, 373. 519Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 130. 520So auch Taeger/Gabel/Taeger, Art. 8 DSGVO Rn. 18; Gola/Schulz, ZD 2013, 475, 478; Laue/Kremer/Kremer, § 2 Rn. 57; a.A. wohl Paal/Pauly/Frenzel; Art. 8 DSGVO Rn. 7. 521Nach Art. 8 Abs. 1 S. 3 DSGVO können die Mitgliedstaaten durch Rechtsvorschrift auch eine niedrigere Altersgrenze festlegen, die jedoch nicht unter dem vollendeten 13. Lebensjahr liegen darf. Deutschland hat von dieser Befugnis keinen Gebrauch gemacht. 522Vgl. Art.-29-Datenschutzgruppe, WP 260 rev.01, S. 12. 523Siehe https://bit.ly/3XXb, zuletzt abgerufen am 11.1.2021. 524Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 137ff. 525Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 137ff. 526So auch Paal/Pauly/Frenzel, Art. 8 DSGVO Rn. 13, und Möhrke-Sobolewski/Klas, K&R 2016, 373, 377; a.A. Plath/Plath, Art. 8 DSGVO Rn. 11. 527So auch Gola/Schulz, ZD 2013, 475, 479. 528Art. 83 Abs. 4a DSGVO. 529Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 146. 530Vgl. Gola/Schulz, ZD 2013, 475, 479, die ein Altersverifikationssystem mit überzeugenden Argumenten für nicht erforderlich halten. 531Siehe oben Rn. 294. 532Ggf. unter Inkaufnahme des Risikos von eigens eingerichteten Fake-Adressen, vgl. Gola/Schulz, ZD 2013, 475, 480; Paal/Pauly/Frenzel, Art. 8 DSGVO Rn. 13; Möhrke-Sobolewski/Klas, K&R 2016, 373, 377. 533Vgl. Rauda, MMR 2017, 15, 18, der weitere Beispiele in Anlehnung an den US Children Online Privacy Protection Act gibt. 534Vgl. Laue/Kremer/Kremer, § 2 Rn. 64, und Härting, Teil B. III. Rn. 415, der zur zusätzlichen Einholung der Einwilligung des Erziehungsberechtigten bei allen Minderjährigen rät. 535Vgl. Art. 8 Abs. 2a RL 95/46/EG. 536Siehe zur Verarbeitung besonderer Kategorien personenbezogener Daten im Übrigen Rn. 159ff. 537Zum Begriff im Allgemeinen siehe oben Rn. 257. 538Vgl. EuGH, Urt. v. 1.10.2019 – C-673/17, K&R 2019, 705, Rn. 61 – Planet49. 539Diese Ansicht scheint zumindest der Europäische Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 98, zu vertreten. 540In Anlehnung an ein Muster des Düsseldorfer Kreises für eine Einwilligungserklärung in der Versicherungswirtschaft v. 17.1.2012, https://bit.ly/2NqyMCq, zuletzt abgerufen am 11.1.2021, S. 2. 541Gemäß Art. 99 Abs. 2 DSGVO gilt die DSGVO seit dem 25.5.2018. 542Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 167. 543Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 168. 544Vgl. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 167. 545Vgl. Düsseldorfer Kreis, Beschl. v. 13./14.9.2016, https://bit.ly/2FRDUel, zuletzt abgerufen am 11.1.2021. 546Vgl. Düsseldorfer Kreis, Beschl. v. 13./14.9.2016, https://bit.ly/2FRDUel, zuletzt abgerufen am 11.1.2021. 547So Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, V. 1.1 Rn. 169, und Düsseldorfer Kreis, Beschl. v. 13./14.9.2016, https://bit.ly/2FRDUel, zuletzt abgerufen am 11.1.2021.