Festschrift für Jürgen Taeger

Gegen diese großzügigeren Auslegungen wird allerdings angeführt, dass es dem Vorrang der Privatautonomie, wie er im Einwilligungserfordernis zum Ausdruck kommt, eher entspräche, in derartigen Fällen dem Nutzer die Entscheidung darüber zu belassen, ob er eine weitreichende Einwilligung in die Datenverarbeitung erteilt oder lieber – im Fall der Werbefinanzierung – ein Entgelt für die Leistung bezahlt oder – im Fall der Orientierung der Dienstleistung an den Nutzerpräferenzen – auf ebendiese Orientierung verzichtet.29 Freilich kann die entsprechende Wahlfreiheit des Betroffenen in der Regel auch durch die Auswahl zwischen verschiedenen Anbietern sichergestellt werden; dann verlagert sich die Problematik auf die eher wettbewerbsrechtlich gelagerte Frage, ob das Verlangen entsprechend weitreichender Einwilligungserklärungen durch monopolartige Anbieter einen Missbrauch marktbeherrschender Stellung i.S.v. Art. 102 AEUV darstellt,30 was zusätzlich zur fehlenden Freiwilligkeit der Einwilligung i.S.v. Art. 7 Abs. 4 DSGVO ggfs. auch zu deren Unwirksamkeit gemäß § 134 BGB führen würde.31 Gleiches wird man in Bereichen essenzieller Grundversorgung annehmen müssen (Alters- und Krankheitsvorsorge, Telefonanschluss, Girokonto, ...), jedenfalls solange dort am Markt nicht auch Vertragsmodelle ohne entsprechend weite Einwilligungserklärungen angeboten werden.32 In anderen Fällen ohne existenzielle Bedeutung, bei denen eine Wahlfreiheit zwischen verschiedenen Anbietern besteht oder auch der Verzicht auf die jeweilige Dienstleistung (z.B. bei sozialen Netzwerken) eine zumutbare Option darstellt, dürfte es einer im Zusammenhang mit dem Vertrag erteilten Einwilligung aber kaum je an der Freiwilligkeit fehlen.

Schließlich kommt im Falle des Fehlens oder eines Widerrufs der Einwilligung noch der Rückgriff auf einen gesetzlichen Erlaubnistatbestand für die Datenverarbeitung in Betracht. Freilich wird im datenschutzrechtlichen Schrifttum vereinzelt vertreten, dass ein solcher Rückgriff ausgeschlossen sei, wenn sich der Anbieter zunächst eine Einwilligung des Betroffenen verschafft hat.33 Diese strenge Auffassung ist aber mit der wohl h.M. abzulehnen, weil nicht einzusehen ist, warum die Schaffung einer zusätzlichen Rechtfertigung für die Datenverarbeitung durch die Einwilligung eine bereits gesetzlich zulässige Verarbeitung rechtswidrig machen sollte.34 Dies gilt umso mehr, als im Hinblick auf die genaue Reichweite der gesetzlichen Erlaubnistatbestände große Rechtsunsicherheit besteht, sodass die verantwortlichen Stellen selbst beim (wahrscheinlichen) Vorliegen gesetzlicher Erlaubnistatbestände gut beraten sind, vorsorglich zusätzlich eine Einwilligung einzuholen.35

Als einschlägiger gesetzlicher Erlaubnistatbestand kommt insbesondere Art. 6 Abs. 1 lit. b DSGVO in Betracht. Danach ist die Datenverarbeitung zulässig, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, ... erforderlich [ist]“. Dieser Erlaubnistatbestand könnte so weit auszulegen sein, dass er – über die selbstverständlich zulässige Verarbeitung der Adress- und Kontodaten für die Auftragsabwicklung – auch diejenige Datenverarbeitung umfasst, die der Anbieter zur Refinanzierung seiner Dienstleistung vornimmt. Dafür könnte angeführt werden, dass die Erfüllung des Vertrages aus Sicht des Anbieters nur (nachhaltig) möglich ist, wenn auch die Refinanzierung (z.B. durch Werbung) gesichert ist.36 Dagegen spricht allerdings entscheidend, dass es der Anbieter dann alleine in der Hand hätte, zu bestimmen, welche Datenverarbeitung er vornehmen darf: Durch die Gestaltung seines Geschäftsmodells, insbesondere der Refinanzierungsquellen, könnte er sämtliche dafür erforderlichen Datenverarbeitungen und -weitergaben gewissermaßen selbst autorisieren. Der Betroffene wäre hierüber völlig im Unklaren, weil der Anbieter sein Geschäftsmodell und die dafür erforderlichen Datenverarbeitungsvorgänge ihm gegenüber nicht offenlegen muss. Dementsprechend könnte der Betroffene noch nicht einmal durch die Abstandnahme vom Vertragsschluss eine solche Datenverarbeitung verhindern, weil er schlicht nicht wüsste, welche Verarbeitungsvorgänge der Anbieter in diesem weiten Sinne „zur Erfüllung eines Vertrags“ vornimmt.37 Eine derart weite Auslegung des Art. 6 Abs. 1 lit. b DSGVO ist daher abzulehnen.38

Gleiches gilt für den Rechtfertigungsgrund der „Wahrung berechtigter Interessen“ gem. Art. 6 Abs. 1 lit. f DSGVO. Zwar kann nach Erwägungsgrund 47 a.E. der DSGVO auch die Datenverarbeitung „zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“ Bereits im Eingangssatz desselben Erwägungsgrund wird aber auf die „vernünftigen Erwartungen der betroffenen Personen“ abgestellt, die sich in aller Regel gegen eine potenziell uferlose Verarbeitung ihrer personenbezogenen Daten zu Werbezwecken – ggfs. noch unter Einschaltung von Drittanbietern – aussprechen werden. Mit dem Begriff „Direktwerbung“ (englisch: direct marketing) ist daher nach dem Gesamtkontext des Erwägungsgrund 47 nur die konventionelle Direktwerbung im Rahmen bestehender Kundenbeziehungen gemeint, nicht hingegen das targeted advertising.39

Die gesetzlichen Erlaubnistatbestände sind für die geschilderten datengetriebenen Geschäftsmodelle daher nicht ergiebig; es kommt allein auf die Einwilligung an.

Angesichts der zentralen Rolle der Einwilligung im Rahmen der datengetriebenen Geschäftsmodelle ist nun deren Einbettung in das allgemeine Schuldrecht zu untersuchen. Dies geschieht auf zwei Ebenen: zum einen im Hinblick auf die Verpflichtung zur Einwilligung selbst, zum anderen auf die Konsequenzen ihres Widerrufs.

Auszugehen ist insoweit – bewährter Rechtstradition in Deutschland folgend – von einem datenschutzrechtlichen „Trennungsprinzip“: die Einwilligung wird zwar häufig mit der rechtsgeschäftlichen Vertragserklärung äußerlich oder zumindest zeitlich zusammenfallen; rechtlich handelt es sich aber um getrennte Erklärungen, die unterschiedlichen Voraussetzungen unterliegen und daher auch in ihrer Wirksamkeit getrennt zu beurteilen sind. Die Einwilligung erfolgt als getrenntes Erfüllungsgeschäft auf der Verfügungsebene und dient der Durchführung eines schuldrechtlichen Verpflichtungsvertrags.40

Fallen – wie meist – vertragsrechtliche Willenserklärung und datenschutzrechtliche Einwilligung zeitlich zusammen, so stellt sich im Ausgangspunkt kein schuldrechtliches Problem, denn selbst wenn man einen vertraglichen Anspruch auf Erteilung einer Einwilligung annehmen wollte, wäre dieser mit deren Erklärung sogleich erfüllt. Wenn Vertragsschluss und Einwilligungserklärung allerdings zeitlich auseinanderfallen, kann sich die Frage stellen, ob der Betroffene, der sich ursprünglich wirksam (und freiwillig) vertraglich zu Erteilung der Einwilligung verpflichtet hatte, notfalls auch rechtlich zur Erteilung der Einwilligung gezwungen werden kann.41 Das gleiche gilt, wenn der Betroffene bei Vertragsschluss zwar eine Einwilligung erteilt, diese aber später widerrufen hat, im Hinblick auf eine etwaige Verpflichtung zu deren Wiedererteilung.42 Beides würde voraussetzen, dass der Vertrag dem Gläubiger einen durchsetzbaren Anspruch auf die Erteilung der Einwilligung gewähren kann.43

Hiergegen spricht allerdings, dass es ausgeschlossen erscheint, dass eine Einwilligung nach Art. 4 Nr. 11 DSGVO „freiwillig“ erfolgt ist, wenn sie mit den Mitteln des rechtlichen Zwangs durchgesetzt wurde. Hiergegen könnte zwar angeführt werden, dass zumindest die vertragliche Verpflichtung selbst freiwillig übernommen wurde, sodass dennoch die Freiwilligkeit die Wurzel der Einwilligung bildet.44 Jedoch besteht der Unterschied zwischen vertraglicher Bindung und „echter“ Freiwilligkeit der Einwilligung im relevanten Zeitpunkt für die Beurteilung der Freiwilligkeit: Für die Einwilligung geht es gerade um die Freiwilligkeit im Zeitpunkt ihrer Erklärung – und nicht im Zeitpunkt eines zeitlich vorgelagerten Vertragsschlusses. Nimmt man aber einen echten vertraglichen Anspruch auf Erteilung der datenschutzrechtlichen Einwilligung an, so könnte der Gläubiger den Betroffenen gegen seinen (dann aktuellen) Willen zur Einwilligung zwingen – ggfs. durch die gerichtliche Ersetzung der Einwilligung gem. § 894 ZPO.45 Ein solcher Zwang würde die Freiwilligkeit ohne Zweifel ausschließen. Dadurch entstünde die paradoxe Situation, dass die Einwilligung, die der Betroffene aufgrund der Durchsetzung eines vertraglichen Anspruchs erteilt, datenschutzrechtlich unwirksam wäre. Schon aus datenschutzrechtlicher Sicht würde demnach ein vertraglicher Anspruch auf Erteilung der Einwilligung ins Leere gehen.