Fragt man eine datenschutzrechtliche Aufsichtsbehörde, in welcher Art und Weise eine Datenverarbeitung am besten zu legitimieren sei, so hat diese in der Regel einen klaren Favoriten: Die Einwilligung des Betroffenen. Dies ist gut begründet, denn im Datenschutzrecht geht es um das Recht des Betroffenen, über die Verwendung seiner Daten möglichst weitgehend selbst zu bestimmen und nichts drückt dieses Recht besser aus, als eine Erklärung des Betroffenen. Dies gilt auch künftig bei der Anwendung der Datenschutz-Grundverordnung. Wichtige Details sind jedoch neu.
Was gilt bisher?
Schon heute kann die Einwilligung eines Betroffenen nach § 4 Abs. 1 Bundesdatenschutzgesetz (BDSG) jegliche Erhebung, Verarbeitung und Nutzung personenbezogener Daten rechtfertigen. Wichtige Voraussetzungen dafür, dass eine Einwilligung tatsächlich diese legitimierende Wirkung hat, ist, dass der Betroffene vorher konkret über die Art und Weise der Datenverarbeitung, die verarbeiteten Daten und die verfolgten Zwecke informiert worden ist und die Einwilligung bestimmt genug formuliert ist. Selbstverständlich muss sie freiwillig abgegeben worden sein und sie darf nicht widerrufen worden sein. Schließlich muss die Einwilligung nach den aktuellen Regelungen grundsätzlich schriftlich erfolgen; Ausnahmen von diesem Schriftformerfordernis sind nur vorgesehen, wenn – wie es im BDSG heißt – die eine andere Form „wegen besonderer Umstände“ angemessen ist oder Spezialregelungen – wie z. B. im Telemedienrecht – greifen.
Was bringt die Zukunft?
Die Datenschutz-Grundverordnung definiert die Einwilligung als jede
- ohne Zwang,
- für den konkreten Fall,
- in Kenntnis der Sachlage und
- unmissverständlich
abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Die Definition enthält letztlich nichts Neues. Neu ist hingegen, dass die Datenschutz-Grundverordnung nicht die Schriftform als allgemeine Wirksamkeitsvoraussetzung vorsieht. Geregelt ist lediglich, dass für den Fall einer Schriftlichkeit die Einwilligungserklärung in verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache verfasst sein muss und klar zu anderen Erklärungen oder Vereinbarungen abzugrenzen ist.
In der Praxis dürfte dennoch die Schriftform als Regelfall zu empfehlen sein. Dies folgt schon daraus, dass der Verantwortliche ggf. Nachweispflichten hat. Er muss nachweisen können, dass die Einwilligungserklärung vorliegt, dass sie unmissverständlich war und der Betroffene nachweisbar in Kenntnis der Sachlage handelte.
Auch künftig kann die Einwilligungserklärung jederzeit widerrufen werden. Die Datenschutz-Grundverordnung regelt jedoch ausdrücklich, dass ein Widerruf der Einwilligungserklärung die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Der Widerruf wirkt also nur für die Zukunft. Wichtig ist, dass die betroffene Person vor Abgabe der Einwilligungserklärung stets vorher über ihr Widerspruchsrecht unterrichtet werden muss. Dies ist im BDSG nur bzgl. der Einwilligungen in die Verwendung der Daten zu Werbezwecken nötig. Der Widerruf wird so einfach zu erklären sein, wie die Einwilligung erklärt wurde.
Den Aspekt der Freiwilligkeit soll eine neue Regelung eines sogenannten „Kopplungsverbots“ betonen. Das BDSG kennt ein solches Kopplungsverbot nur für Einwilligungen, die in die Verwendung der Daten für Zwecke der Werbung gegeben wurden. Der Abschluss eines Vertrages darf nach § 28 Abs. 3b BDSG nicht von der Abgabe einer Einwilligung in die Verwendung der Daten für Werbezwecke abhängig gemacht werden, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Die Datenschutz-Grundverordnung regelt diesen Aspekt umfassender. Bei der Beurteilung, ob eine Einwilligung ohne Zwang erteilt wurde, muss nach der Datenschutz-Grundverordnung dem Umstand „in größtmöglichem Umfang Rechnung getragen werden“, ob unter anderem die Erfüllung eines Vertrages oder die Erbringung einer Dienstleistung von der Einwilligung zur Verarbeitung von Daten abhängig gemacht wird, die für die Erfüllung des Vertrages nicht erforderlich ist. Faktisch kann das bedeuten, dass jede Einwilligung, die abgegeben werden muss, damit ein Vertrag zustande kommt, unwirksam ist (oder sein kann).
Eine besondere Regelung enthält die Datenschutz-Grundverordnung zudem für die Einwilligung durch bzw. für Kinder. Grundsätzlich kann ein Kind eine Einwilligung frühestens ab Vollendung des 16. Lebensjahres abgeben. Die Mitgliedsstaaten können jedoch diese Grenze herabsetzen bis zur Vollendung des 13. Lebensjahres. Im Übrigen muss die Einwilligung durch „Träger elterlicher Verantwortung“ erklärt werden.
Werden Daten auf Basis einer unzureichenden Einwilligungserklärung verarbeitet, droht ein Bußgeld bis zu EUR 20 Mio. oder – wenn der Verantwortliche ein Unternehmen ist – i.H.v. bis zu 4 % des gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres (je nachdem, welcher der Beträge höher ist). Weiterführende Links: Vorangegangene Teile der Serie Preview Datenschutz-Grundverordnung
