Einwilligung im Datenschutz – Das ist zu beachten

Sie ist der wohl größte Star der DSGVO: die Einwilligung. Gleichzeitig führt sie immer wieder zu Fragen und Verwirrungen. Deswegen widmet sich dieser Beitrag einzig und allein diesem zentralen Begriff. Er enthält die Basics zur Einwilligung im Datenschutz und zeigt auf, was es unbedingt zu beachten gilt und wo selbst die Einwilligung an ihre Grenzen gerät.

Einwilligung als Grundrechtsausübung im Datenschutz

Die Einwilligung des Betroffenen in die Verarbeitung seiner personenbezogenen Daten ist ein zentraler Bestandteil des Datenschutzrechts. Datenschutz ist Grundrechtsschutz. Es geht darum, dass der Einzelne ein Recht auf Datenschutz, Privatsphäre und informationelle Selbstbestimmung hat. Hinter letzterem Begriff verbirgt sich nichts anderes als das Recht eines jeden Bürgers, selbst zu bestimmen, wer welche Informationen über ihn erhält. Garantiert werden dieses Rechte sowohl durch das Grundgesetz (Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG), als auch durch die Charta der Grundrechte der Europäischen Union, die in Artikel 8 sogar ausdrücklich die personenbezogenen Daten des Einzelnen schützt.

Grundrechte sind in erster Linie Abwehrrechte gegen den Staat, die aber die Möglichkeit bieten, diese Abwehrrechte durch sog. einfachgesetzliche Regelungen auszugestalten. Solch ein Gesetze ist z.B. das Bundesdatenschutzgesetz (BDSG). Die seit Mai 2018 anzuwendende Datenschutz-Grundverordnung ist dagegen höherrangiges Recht und regelt in unmittelbarer Anwendung, wie die von ihr betroffenen Persönlichkeitsrechte konkret ausgestaltet sind und wem gegenüber sie gelten sollen. Letzteres ist auch für den Datenschutz wichtig, da ein Recht auf Privatsphäre nicht nur gegenüber dem Staat gilt, sondern auch gegenüber nicht-öffentlichen Stellen wie etwa Unternehmen aus der Wirtschaft.

Durch die Einwilligung wird die betroffene Person in die Lage versetzt, über sein Persönlichkeitsrecht frei(er) zu verfügen und persönliche Informationen über sich selbst preiszugeben oder eben nicht. Zwar mehren sich in jüngerer Zeit die Stimmen, die die Einwilligung auch nachteilig sehen, weil dadurch die personenbezogenen Daten disponibel also frei gestaltbar und damit auch handelbar werden – mit der Folge, dass sich personenbezogene Daten immer stärker den Regeln des Kapitalismus unterwerfen und Objekt einer neuen Datenökonomie werden. Dennoch ist die Einwilligung in erster Linie eine Ermächtigung des Subjekts.

Die Einwilligung als Rechtsgrundlage für die Datenverarbeitung

In der DSGVO gilt der Grundsatz des Verbots mit Erlaubnisvorbehalt, Art. 6 Abs. 1 Satz 1 DSGVO. Dieses Prinzip besagt, dass grundsätzlich jede Verarbeitung personenbezogener Daten rechtswidrig ist, außer es gibt im Einzelfall mindestens eine Rechtsgrundlage, auf der die jeweilige Verarbeitung beruht.

Die wohl bekannteste Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 Satz 1 lit. a) DSGVO. Daneben gibt es aber noch fünf weitere explizite Rechtsgrundlagen, die allesamt gegenüber der Einwilligung gleichwertig sind, also genauso die Verarbeitung personenbezogener Daten rechtfertigen können.

Für besonders sensible Daten – die DSGVO spricht in Art. 9 DSGVO von besonderen Kategorien personenbezogener Daten – gelten strengere Regeln in Bezug auf die Rechtmäßigkeit der Verarbeitung. Aber auch hier können mit einer (ausdrücklichen) Einwilligung Daten verarbeitet werden. Im Übrigen findet die Einwilligung auch noch an weiteren Stellen der DSGVO Erwähnung, beispielsweise beim Profiling oder auch der Verarbeitung in anderen Ländern außerhalb der EU.

Anforderungen an eine Einwilligungserklärung nach der DSGVO

Der folgende Abschnitt beschäftigt sich mit den Anforderungen, die eine wirksame Einwilligungserklärung nach der DSGVO erfüllen muss. Grundlage aller Überlegungen ist die Definition in Art. 4. Nr. 11 DSGVO: Die „Einwilligung“ der betroffenen Person ist

„jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist […].“

Freiwilligkeit der Einwilligung

Die Abgabe der Einwilligungserklärung des Betroffenen muss absolut freiwillig erfolgen. Eine solche Freiwilligkeit liegt nur dann vor, wenn der Betroffene eine echte und freie Wahl hat, also in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen kann, ohne Nachteile zu erleiden (Erwägungsgrund 42).

Im Rahmen der Freiwilligkeit der Einwilligung muss auch das sog. Kopplungsverbot der DSGVO beachtet werden. Dieses besagt, dass bereits dann keine Freiwilligkeit im Sinne des Art. 4 Nr. 11 DSGVO vorliegt, wenn die Durchführung der beabsichtigten Verarbeitung (z.B. Vertragserfüllung bei einer Dienstleistung) von der Abgabe einer Einwilligungserklärung abhängig gemacht wird. Dies deckt sich auch mit Erwägungsgrund 43 Satz 2:

„Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“

Transparenz und Informiertheit des Einwilligenden

Der Betroffene muss vor Abgabe der Einwilligungserklärung über den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten im Einzelnen informiert werden (Art. 7, 13 und 14 DSGVO). Dabei müssen alle weiteren, für den konkreten Fall entscheidungsrelevanten Informationen enthalten sein und diese müssen darüber hinaus auch hinreichend bestimmt sein (Erwägungsgrund 32). Der Zweck der Verarbeitung darf also nicht zu allgemein gehalten werden. Der betroffene muss außerdem in der Lage sein, die Informationen leicht zu erkennen und auch als Einwilligung zu identifizieren.

In welcher Form muss die Einwilligung abgegeben werden?

Die DSGVO gibt keine zwingende Form der Einwilligungserklärung vor – auch nicht die Schriftform. Der Erwägungsgrund 32 der DSGVO präzisiert dahingehend, dass die Einwilligung „etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung“ erfolgen kann. Eine gesetzliche Verpflichtung besteht nicht. Die Regelung des (alten) BDSG, wonach grundsätzlich ein Schriftformerfordernis vorliegt, ist überholt.

Dennoch kann es ratsam sein, sich die Einwilligung in Schriftform oder zumindest elektronisch einzuholen, um die in Art. 7 Abs. 1 DSGVO angelegte Nachweispflicht zu erfüllen. Eine mündliche Einwilligungserklärung dürfte im Nachhinein schwierig nachzuweisen sein.

Einwilligungsfähigkeit

Um eine wirksame Einwilligungserklärung abgeben zu können, muss der Betroffene die erforderliche Einsichtsfähigkeit besitzen. Volljährigkeit ist keine zwingende Voraussetzung. Häufig wird bereits ab einem Alter von 16 Jahren eine ausreichende Einsichtsfähigkeit angenommen. Die Anforderungen an die Einwilligung von Kindern bei Diensten der Informationsgesellschaft sind in der DSGVO in Art. 8 noch einmal gesondert geregelt.

Unterschied zwischen Einwilligung und ausdrücklicher Einwilligung

Wie oben erwähnt gibt es neben der Einwilligung auch die ausdrückliche Einwilligung. Eine solche, über die „normale“ Einwilligung hinausgehende Erklärung ist dann gesetzlich vorgeschrieben, wenn die Risiken der Datenverarbeitung erhöht sind, was beispielsweise bei Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO der Fall ist oder bei automatisierten Entscheidungen (einschließlich Profiling) nach Art. 22 DSGVO. Der Unterschied besteht darin, dass eine konkludente Handlung für eine ausdrückliche Einwilligung nicht mehr ausreicht. Zudem muss in der ausdrücklichen Erklärung die jeweils besondere Verarbeitung Erwähnung finden.

Widerruf der Einwilligung

Der datenschutzrechtliche Verantwortliche muss sicherstellen, dass der Betroffene seine Einwilligung jederzeit widerrufen kann, damit er weiterhin über sein Persönlichkeitsrecht verfügen kann. Auch hierüber muss er vor der Abgabe der Einwilligung informiert werden.

Die Datenschutz-Grundverordnung bestimmt nämlich in Art. 7 Nr. 3 DSGVO, dass der Betroffene erstens ein Recht zum Widerruf seiner Einwilligung hat, er zweitens vor Abgabe der Einwilligung über sein Widerrufsrecht aufgeklärt werden muss und drittens der Widerruf der Einwilligung genauso leicht möglich sein muss, wie die Abgabe selbst.

Folge des Widerrufs ist, dass die Einwilligung mit Wirkung für die Zukunft erlischt. Die bisherigen Verarbeitungen, die auf der Grundlage der Einwilligung erfolgten, verbleiben damit also rechtmäßig. Lediglich Verarbeitungen nach erfolgtem Widerruf können nicht mehr auf die ursprüngliche Einwilligung gestützt werden.

Sollte eine Einwilligung ohne vollständige Widerrufsbelehrung eingeholt werden, kann dies zur Konsequenz haben, dass die Einwilligung unwirksam und die (eigentlich) darauf gestützte Verarbeitung rechtswidrig ist.

Das Verhältnis der Einwilligung zu den anderen Rechtsgrundlagen

Wie bereits oben festgestellt, ist die Einwilligung mit den anderen Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO gleichrangig. Zudem kann eine Verarbeitung nach dem ausdrücklichen Wortlaut der Norm auf mehr als eine Rechtsgrundlage gestützt werden („mindestens eine der nachstehenden Bedingungen“).

Etwas komplizierter wird es jedoch dann, wenn sich die Einwilligung im Nachhinein doch als unwirksam erweist. Kann sich der Verantwortlich in einem solchen Fall einfach auf eine andere Rechtsgrundlage berufen, wie beispielsweise dessen überwiegende berechtigten Interessen nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO?

Der Europäische Datenschutzausschuss lehnt einen solche Lösung ab und spricht von einem Rückgriffsverbot. Der Betroffene dürfe darauf vertrauen, dass im Falle einer erteilten Einwilligung die Verarbeitung auch nur und ausschließlich auf dieser Grundlage erfolgt.

Andere Stimmen aus Literatur und Rechtsprechung sind weniger rigoros, betonen aber gleichzeitig, dass im Kern die Grundsätze der Verarbeitung nach Treu und Glauben sowie die Transparenz für die betroffene Person (Art. 5 Abs. 1 lit. a DSGVO) entscheidend sind. Stützt sich der Verantwortliche gegenüber dem Betroffenen einzig auf die Verarbeitung auf Grundlage der Einwilligung, dürfte ein nachträglicher Wechsel der Rechtsgrundlage nicht ohne weiteres möglich sein. Insbesondere sind hier die Informationspflichten nach Art. 13 und 14 DSGVO zu beachten.

Erlischt eine einmal erteilte Einwilligung nur durch Zeitablauf?

Ob eine einmal erteilte Einwilligung durch Zeitablauf (irgendwann) erlischt, ist in der Fachwelt umstritten. Auf der einen Seite steht die grundsätzliche Idee des umfassenden Einverständnisses des Betroffenen in die Verarbeitung seiner personenbezogenen Daten. Dieses Einverständnis wird dabei – sofern nicht anders geregelt – ohne eine zeitliche Befristung abgegeben. Dies spiegelt sich auch in einzelnen gerichtlichen Entscheidungen wider, die eher keinen zeitlichen Ablauf einer einmal erklärten Einwilligung befürworten. Hierfür spricht u.a. auch der Umstand, dass die DSGVO gerade keine explizite Regelung enthält, die eine Einwilligung nach einem bestimmten Zeitraum auslaufen lässt.

Auf der anderen Seite ist (ein) Ziel der DSGVO auch der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Art. 1 Abs. 1 DSGVO). Daraus resultieren eine gewisse Hoheit und Kontrolle über die eigenen Daten. Insofern könnte es vertretbar sein, eine Einwilligung jedenfalls nicht für einen unendlichen Zeitraum als gültig zu betrachten. Die Aufsichtsbehörden tendieren eher zu dieser Ansicht und befürworten einen Zeitablauf der Einwilligung.

Die Einwilligung als zentraler Begriff der DSGVO

Es zeigt sich: die Einwilligung ist einer der zentralen Begriffe der DSGVO! Die Relevanz für die Praxis kann dabei nicht genug betont werden. Wer personenbezogene Daten auf der Grundlage einer Einwilligung verarbeiten möchte, muss zwingend darauf achten, den Betroffenen umfassend über die Umstände der Erhebung und Verarbeitung (Zweck, Umfang etc.) zu informieren. Auf keinen Fall darf dabei das Widerrufsrecht vergessen werden. Zugleich muss die Erteilung einer Einwilligung immer freiwillig für den Betroffenen sein. Wer besondere Kategorien personenbezogener Daten – wie Gesundheitsdaten – verarbeiten möchte, muss sogar eine ausdrückliche Einwilligung vom Betroffenen einholen.