Ja, ich will! – Die Einwilligung im Datenschutzrecht

#workshopwednesday – Ein Beitrag aus unserem „JuBlog! Workshop zum Bloggen im Öffentlichen Recht

von DOMINIK GÜNTER MEIXNER

Mit dem Begriff des Datenschutzes assoziieren viele diese nervige Einwilligung am Anfang jeder Internetseite oder das Unterschreiben eines unverständlichen Formulars. Durch die inflationäre Nutzung von Einwilligungen wird die Datenschutzgrundverordnung (DSGVO) häufig als lästig empfunden. Die Einwilligung wird von vielen Verantwortlichen als einfachster Weg gesehen, um die Datenverarbeitung zu rechtfertigen. Einfach ist sie aber nicht und sie bringt viele rechtliche und tatsächliche Probleme mit sich. Der Beitrag zeigt prominente Probleme der Einwilligung und zwei Alternativen auf, welche die Einwilligung ergänzen bzw. ersetzten können.

Die Ehe und die datenschutzrechtliche Einwilligung sind zwei Paar Schuhe. Das allseits bekannte Institut der Ehe ist kaum mit der Einwilligung zu vergleichen, trägt zur Veranschaulichung der eher unbekannten Datenschutzthematik bei. Wird zum Beispiel in die Ehe eingewilligt, bringt das meist einen Ring mit sich. Hierdurch kann mit einem Wink die Einwilligung nachgewiesen werden – so einfach ist es im Datenschutzrecht nicht. Wenn nach Art. 7 DSGVO eine Einwilligung eingeholt wird, obliegt dem Verantwortlichen nach Art. 7 Abs. 1 DSGVO die Rechenschaftspflicht. Im einfachsten Fall entsteht ein umfangreicher Ordner mit zahllosen schriftlichen Einwilligungen. Jedoch kann eine Einwilligung auch mündlich oder gar konkludent erfolgen. Wird eine mündliche Einwilligung später durch den Betroffenen bestritten, ist die Beweisführung i.d.R. schwierig. Soll eine Einwilligung also eingeholt werden, muss diese – im Interesse des Verantwortlichen – genau dokumentiert werden. Schnell stellt sich heraus, dass nach einem kurzem „Ja“ nicht alles rosig ist.

Die „Eheurkunde“ – die schriftliche Einwilligung

Alle Einwilligungen sind gleich? Davon kann nicht die Rede sein. Gerade für schriftliche Einwilligungen sind in Art. 7 Abs. 2 DSGVO besondere Voraussetzungen vorgesehen. Sie muss in „verständlicher und leicht zugänglicher Form“ sowie „in klarer und einfacher Sprache“ verfasst sein. Zwar gibt es im Internet von Beratungsstellen bereitgestellte Muster-Einwilligungserklärungen, jedoch sind jene nicht komplett ausgefüllt und folglich nicht direkt „einsatzbereit“. Es obliegt dem Verantwortlichen, Details auszufüllen wie Zweck und Art der Verarbeitung, Kategorien von Daten und Betroffenen, Dauer der Verarbeitung, etc.

Der Verantwortliche muss den Betroffenen, um seiner Informationspflicht gem. Art 13 und 14 DSGVO nachzukommen, auch bei anderen Erlaubnistatbeständen hierrüber informieren. Einen essenziellen Unterschied gibt es dabei: Eine Einwilligung muss immer für einen bestimmten Zweck und für eine bestimmte Verarbeitung erteilt werden. Zwar kann eine Einwilligung mehrere Zwecke und Verarbeitungen abdecken, jedoch müssen jene klar bestimmt sein. Sollte eine ausgefüllte Mustereinwilligung nicht alle gewünschte Zwecke oder notwendigen Verarbeitungen erfassen, muss eine neue Einwilligung eingeholt werden. Wird die Verarbeitung hingegen auf einen anderen Erlaubnistatbeständen gestützt, ist der Betroffene „nur“ neu zu informieren, Art. 13 Abs. 3 DSGVO.

Ja, Mr. Grey – die Freiwilligkeit der Einwilligung

Anastasia Steele mag Christian Grey wirklich freiwillig geheiratet haben, es wäre aber auch abträglich gewesen, wenn das Über-/Unterordnungsverhältnis die wichtige Entscheidung der Ehe dominiert hätte. Auch die Einwilligung muss vor Machtunterschieden geschützt sein und muss freiwillig abgeben werden, vgl. Art. 7 Abs. 4 DSGVO. Der Verordnungsgeber äußert sich in Erwägungsgrund 43 zur Freiwilligkeit kritisch, sollte ein Machtunterschied zulasten des Betroffenen bei Einholung einer Einwilligung vorliegen. Wird in solchen Beziehungen mit Machtunterschied, wie bspw. bei Arbeitgeber und Arbeitnehmer, eine Einwilligung eingeholt, müssen alle Umstände betrachtete werden, um die Freiwilligkeit zu evaluieren. Eine solche Einzelfallentscheidung bringt für den Verantwortlichen Unsicherheiten mit sich.

Scheidung und Rosenkrieg – der Widerruf der Einwilligung

Was bei der Ehe aufwendig ist, ist bei der Einwilligung in die Datenverarbeitung einfacher. Jene kann jederzeit grundlos für die Zukunft widerrufen werden. Auf diesen Umstand hinzuweisen, ist sogar für den Verantwortlichen nach Art. 7 Abs. 3 DSGVO verpflichtend. Mit dem Widerruf geht meist noch ein Löschanliegen mit einher (Art. 17 Abs. 1 DSGVO). Dieses muss vom Verantwortlichen auf Ausnahmen (Art. 17 Abs 3 DSGVO) oder alternative Rechtsgrundlagen (Art. 17 Abs. 1 lit b) HS.2 DSGVO) kontrolliert werden. Greift weder eine Ausnahme noch ein alternativer Erlaubnistatbestand, muss dem Löschungsanliegen nachgekommen werden. Stimmungsschwankungen des Betroffenen haben also aufwendige Folgen für den Verantwortlichen. Sollte bisher die Einwilligung alleinstehend als Rechtsgrundlage für die Verarbeitung gedient haben, stellt das „Nachreichen“ von alternativen Rechtsgrundlagen ein Verstoß gegen den Grundsatz von Treu und Glauben (Art. 5 Abs 1 lit. a) DSGVO) dar. Der Betroffene darf bei Erteilung einer Einwilligung darauf vertrauen, dass eine Verarbeitung nur bis deren Widerruf stattfindet. Eine Weiterverarbeitung auf Grundlage eines alternativen, nicht ursprünglich genannten Erlaubnistatbestandes, missbraucht sein Vertrauen und verstößt daher gegen Treu und Glauben. Sind von Anfang mehrere Erlaubnistatbestände genannt, stellt eine Weiterverarbeitung nach dem Widerruf kein Verstoß gegen den Grundsatz dar. Der Verantwortliche hat keinen Vertrauenstatbestand geschaffen.

Freundschaft plus – die alternativen Rechtfertigungsgründe

Zwei Paar Schuhe in verschiedenen Ausführungen: Genauso wie es Alternativen zur Ehe gibt, gibt es auch alternative Erlaubnistatbestände zur Einwilligung, welche die DSGVO zur Verfügung stellt. Wohl am wichtigsten für die praktische Anwendung im nicht-öffentlichen Bereich ist der Rechtfertigungsgrund nach Art. 6 Abs. 1 UAbs. 1 lit b) DSGVO: Verarbeitung zur Erfüllung eines Vertrages oder zur Durchführung einer vorvertraglichen Maßnahme. Dabei muss die Datenverarbeitung natürlich nicht Gegenstand des Vertrages sein, sondern der Vertrag kann sich auf nahezu alles beziehen. Zum Beispiel können Kaufverträge mit Online-Händlern, Verträge mit Fitnessstudios oder Mietverträge als Rechtsgrundlagen für eine Datenverarbeitung dienen. Eine Verarbeitung ist dann rechtmäßig, wenn der Vertrag die Datenverarbeitung erfordert.

Nach Beendigung des Vertrages greift eine weitere wichtige Rechtsgrundlage, um die Rechtmäßigkeit der Datenverarbeitung zu sichern. Das berechtigte Interesse nach Art. 6 Abs. 1 UAbs. 1 lit. f) DSGVO kann viele Formen annehmen. Ein berechtigtes Interesse an der Speicherung von Daten besteht etwa nachdem ein Vertrag beendet worden ist, um rechtliche Ansprüche zu sichern oder sich gegen diese verteidigen zu können. Auch die Datenverarbeitung zum Zweck der Direktwerbung wird nach Erwägungsgrund 47 S.7 abgedeckt. Ferner fällt die Videoüberwachung, die Konzerndatenverarbeitung oder die Gewährung von Netz- und Informationssicherheit unter diese Rechtsgrundlage. Auch hier kann es zu Einzelfallentscheidungen kommen, aufgrund der Beispiele des Verordnungsgeber und einer Konkretisierung durch die Rechtsprechung birgt der Erlaubnistatbestand trotzdem weniger Rechtsunsicherheit. Um eine Verarbeitung auf Grundlage des berechtigten Interesses zu rechtfertigen, muss das Interesse des Verantwortlichen an einer Datenverarbeitung die Rechte und Freiheiten des Betroffenen Zwar kann der Betroffene auch einer Verarbeitung auf Grundlage des berechtigten Interesses widersprechen, jedoch muss der Betroffene den Widerspruch in irgendeiner Form begründen.

Die DSGVO bietet im Artikel 6 noch weitere Erlaubnistatbestände. Doch allein anhand der zwei dargestellten alternativen Erlaubnistatbestände wird schon ersichtlich, dass die häufig genutzte Einwilligung nicht das erste oder einzige Mittel der Wahl sein sollte. Im Gegenteil: Mehr Sicherheiten für den Verantwortlichen bieten andere Rechtsgrundlagen und jene nerven den Betroffenen sogar weniger. Daher sollte mehr Aufmerksamkeit den Alternativen zukommen, damit alle Beteiligten mehr Nerven für Wichtigeres haben.

Zitiervorschlag: Dominik Günter Meixner, Ja, ich will! – Die Einwilligung im Datenschutzrecht, JuWissBlog Nr. 52/2021 v. 19.05.2021, https://www.juwiss.de/52-2021/.

Creative Commons Lizenzvertrag
Dieses Werk ist lizenziert unter einer Creative Commons Namensnennung – Nicht kommerziell – Keine Bearbeitungen 4.0 International Lizenz.

, , , ,
Nächster Beitrag
Protest am Rechtshaus! „Ihr nennt euch exzellent, wir sind insolvent“
Vorheriger Beitrag
Odyssee im Wahlrecht

Ähnliche Beiträge

von MALTE KRÖGER Antworten in Prüfungsarbeiten sind personenbezogene Daten – so hat es der EuGH in der Rechtssache C-434/16 (Nowak) entschieden. Prüflinge können unter Berufung auf das datenschutzrechtliche Auskunftsrecht Einsicht in ihre Prüfungsarbeiten nehmen. Das Datenschutzrecht verleiht ihnen zudem das Recht, unrichtige Daten zu berichtigen. Ob Prüflinge nun ihre unrichtigen…
Weiterlesen

Dürfen Vermieter keine Klingelschilder mehr anbringen?

FLORIAN ZUMKELLER-QUAST
Von FLORIAN ZUMKELLER-QUAST Namen auf Klingelschildern verstoßen gegen die DSGVO. Jedenfalls sieht das die Wiener Stadtverwaltung so. Daher verlieren nun rund 220.000 Mieter ihre Namensschilder an der Haustüre. Der Verein ARGE Daten fordert die Mieter zudem auf, Schadensersatz geltend zu machen. Das führt unweigerlich zu Frage: Verbietet die DSGVO tatsächlich die Anbringung…
Weiterlesen
JuWiss-Schwerpunktwoche zum Datenschutzrecht von VERENA-MARIA NIEDRIST Basieren Datenübermittlungen in die USA aufgrund von Privacy Shield nun – nach dem Ende von Safe Harbor – auf einer gesicherten Rechtsgrundlage oder ist der Privacy Shield brandgefährlich für einen effektiven Datenschutz? Der Privacy Shield stellt die Nachfolgeregelung des vom EuGH gekippten Angemessenheitsbeschlusses zu…
Weiterlesen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Bitte füllen Sie dieses Feld aus.
Bitte füllen Sie dieses Feld aus.
Bitte gib eine gültige E-Mail-Adresse ein.

Menü