#workshopwednesday – Ein Beitrag aus unserem „JuBlog! Workshop zum Bloggen im Öffentlichen Recht“
Mit dem Begriff des Datenschutzes assoziieren viele diese nervige Einwilligung am Anfang jeder Internetseite oder das Unterschreiben eines unverständlichen Formulars. Durch die inflationäre Nutzung von Einwilligungen wird die Datenschutzgrundverordnung (DSGVO) häufig als lästig empfunden. Die Einwilligung wird von vielen Verantwortlichen als einfachster Weg gesehen, um die Datenverarbeitung zu rechtfertigen. Einfach ist sie aber nicht und sie bringt viele rechtliche und tatsächliche Probleme mit sich. Der Beitrag zeigt prominente Probleme der Einwilligung und zwei Alternativen auf, welche die Einwilligung ergänzen bzw. ersetzten können.
Die Ehe und die datenschutzrechtliche Einwilligung sind zwei Paar Schuhe. Das allseits bekannte Institut der Ehe ist kaum mit der Einwilligung zu vergleichen, trägt zur Veranschaulichung der eher unbekannten Datenschutzthematik bei. Wird zum Beispiel in die Ehe eingewilligt, bringt das meist einen Ring mit sich. Hierdurch kann mit einem Wink die Einwilligung nachgewiesen werden – so einfach ist es im Datenschutzrecht nicht. Wenn nach Art. 7 DSGVO eine Einwilligung eingeholt wird, obliegt dem Verantwortlichen nach Art. 7 Abs. 1 DSGVO die Rechenschaftspflicht. Im einfachsten Fall entsteht ein umfangreicher Ordner mit zahllosen schriftlichen Einwilligungen. Jedoch kann eine Einwilligung auch mündlich oder gar konkludent erfolgen. Wird eine mündliche Einwilligung später durch den Betroffenen bestritten, ist die Beweisführung i.d.R. schwierig. Soll eine Einwilligung also eingeholt werden, muss diese – im Interesse des Verantwortlichen – genau dokumentiert werden. Schnell stellt sich heraus, dass nach einem kurzem „Ja“ nicht alles rosig ist.
Die „Eheurkunde“ – die schriftliche Einwilligung
Alle Einwilligungen sind gleich? Davon kann nicht die Rede sein. Gerade für schriftliche Einwilligungen sind in Art. 7 Abs. 2 DSGVO besondere Voraussetzungen vorgesehen. Sie muss in „verständlicher und leicht zugänglicher Form“ sowie „in klarer und einfacher Sprache“ verfasst sein. Zwar gibt es im Internet von Beratungsstellen bereitgestellte Muster-Einwilligungserklärungen, jedoch sind jene nicht komplett ausgefüllt und folglich nicht direkt „einsatzbereit“. Es obliegt dem Verantwortlichen, Details auszufüllen wie Zweck und Art der Verarbeitung, Kategorien von Daten und Betroffenen, Dauer der Verarbeitung, etc.
Der Verantwortliche muss den Betroffenen, um seiner Informationspflicht gem. Art 13 und 14 DSGVO nachzukommen, auch bei anderen Erlaubnistatbeständen hierrüber informieren. Einen essenziellen Unterschied gibt es dabei: Eine Einwilligung muss immer für einen bestimmten Zweck und für eine bestimmte Verarbeitung erteilt werden. Zwar kann eine Einwilligung mehrere Zwecke und Verarbeitungen abdecken, jedoch müssen jene klar bestimmt sein. Sollte eine ausgefüllte Mustereinwilligung nicht alle gewünschte Zwecke oder notwendigen Verarbeitungen erfassen, muss eine neue Einwilligung eingeholt werden. Wird die Verarbeitung hingegen auf einen anderen Erlaubnistatbeständen gestützt, ist der Betroffene „nur“ neu zu informieren, Art. 13 Abs. 3 DSGVO.
Ja, Mr. Grey – die Freiwilligkeit der Einwilligung
Anastasia Steele mag Christian Grey wirklich freiwillig geheiratet haben, es wäre aber auch abträglich gewesen, wenn das Über-/Unterordnungsverhältnis die wichtige Entscheidung der Ehe dominiert hätte. Auch die Einwilligung muss vor Machtunterschieden geschützt sein und muss freiwillig abgeben werden, vgl. Art. 7 Abs. 4 DSGVO. Der Verordnungsgeber äußert sich in Erwägungsgrund 43 zur Freiwilligkeit kritisch, sollte ein Machtunterschied zulasten des Betroffenen bei Einholung einer Einwilligung vorliegen. Wird in solchen Beziehungen mit Machtunterschied, wie bspw. bei Arbeitgeber und Arbeitnehmer, eine Einwilligung eingeholt, müssen alle Umstände betrachtete werden, um die Freiwilligkeit zu evaluieren. Eine solche Einzelfallentscheidung bringt für den Verantwortlichen Unsicherheiten mit sich.
Scheidung und Rosenkrieg – der Widerruf der Einwilligung
Was bei der Ehe aufwendig ist, ist bei der Einwilligung in die Datenverarbeitung einfacher. Jene kann jederzeit grundlos für die Zukunft widerrufen werden. Auf diesen Umstand hinzuweisen, ist sogar für den Verantwortlichen nach Art. 7 Abs. 3 DSGVO verpflichtend. Mit dem Widerruf geht meist noch ein Löschanliegen mit einher (Art. 17 Abs. 1 DSGVO). Dieses muss vom Verantwortlichen auf Ausnahmen (Art. 17 Abs 3 DSGVO) oder alternative Rechtsgrundlagen (Art. 17 Abs. 1 lit b) HS.2 DSGVO) kontrolliert werden. Greift weder eine Ausnahme noch ein alternativer Erlaubnistatbestand, muss dem Löschungsanliegen nachgekommen werden. Stimmungsschwankungen des Betroffenen haben also aufwendige Folgen für den Verantwortlichen. Sollte bisher die Einwilligung alleinstehend als Rechtsgrundlage für die Verarbeitung gedient haben, stellt das „Nachreichen“ von alternativen Rechtsgrundlagen ein Verstoß gegen den Grundsatz von Treu und Glauben (Art. 5 Abs 1 lit. a) DSGVO) dar. Der Betroffene darf bei Erteilung einer Einwilligung darauf vertrauen, dass eine Verarbeitung nur bis deren Widerruf stattfindet. Eine Weiterverarbeitung auf Grundlage eines alternativen, nicht ursprünglich genannten Erlaubnistatbestandes, missbraucht sein Vertrauen und verstößt daher gegen Treu und Glauben. Sind von Anfang mehrere Erlaubnistatbestände genannt, stellt eine Weiterverarbeitung nach dem Widerruf kein Verstoß gegen den Grundsatz dar. Der Verantwortliche hat keinen Vertrauenstatbestand geschaffen.
Freundschaft plus – die alternativen Rechtfertigungsgründe
Zwei Paar Schuhe in verschiedenen Ausführungen: Genauso wie es Alternativen zur Ehe gibt, gibt es auch alternative Erlaubnistatbestände zur Einwilligung, welche die DSGVO zur Verfügung stellt. Wohl am wichtigsten für die praktische Anwendung im nicht-öffentlichen Bereich ist der Rechtfertigungsgrund nach Art. 6 Abs. 1 UAbs. 1 lit b) DSGVO: Verarbeitung zur Erfüllung eines Vertrages oder zur Durchführung einer vorvertraglichen Maßnahme. Dabei muss die Datenverarbeitung natürlich nicht Gegenstand des Vertrages sein, sondern der Vertrag kann sich auf nahezu alles beziehen. Zum Beispiel können Kaufverträge mit Online-Händlern, Verträge mit Fitnessstudios oder Mietverträge als Rechtsgrundlagen für eine Datenverarbeitung dienen. Eine Verarbeitung ist dann rechtmäßig, wenn der Vertrag die Datenverarbeitung erfordert.
Nach Beendigung des Vertrages greift eine weitere wichtige Rechtsgrundlage, um die Rechtmäßigkeit der Datenverarbeitung zu sichern. Das berechtigte Interesse nach Art. 6 Abs. 1 UAbs. 1 lit. f) DSGVO kann viele Formen annehmen. Ein berechtigtes Interesse an der Speicherung von Daten besteht etwa nachdem ein Vertrag beendet worden ist, um rechtliche Ansprüche zu sichern oder sich gegen diese verteidigen zu können. Auch die Datenverarbeitung zum Zweck der Direktwerbung wird nach Erwägungsgrund 47 S.7 abgedeckt. Ferner fällt die Videoüberwachung, die Konzerndatenverarbeitung oder die Gewährung von Netz- und Informationssicherheit unter diese Rechtsgrundlage. Auch hier kann es zu Einzelfallentscheidungen kommen, aufgrund der Beispiele des Verordnungsgeber und einer Konkretisierung durch die Rechtsprechung birgt der Erlaubnistatbestand trotzdem weniger Rechtsunsicherheit. Um eine Verarbeitung auf Grundlage des berechtigten Interesses zu rechtfertigen, muss das Interesse des Verantwortlichen an einer Datenverarbeitung die Rechte und Freiheiten des Betroffenen Zwar kann der Betroffene auch einer Verarbeitung auf Grundlage des berechtigten Interesses widersprechen, jedoch muss der Betroffene den Widerspruch in irgendeiner Form begründen.
Die DSGVO bietet im Artikel 6 noch weitere Erlaubnistatbestände. Doch allein anhand der zwei dargestellten alternativen Erlaubnistatbestände wird schon ersichtlich, dass die häufig genutzte Einwilligung nicht das erste oder einzige Mittel der Wahl sein sollte. Im Gegenteil: Mehr Sicherheiten für den Verantwortlichen bieten andere Rechtsgrundlagen und jene nerven den Betroffenen sogar weniger. Daher sollte mehr Aufmerksamkeit den Alternativen zukommen, damit alle Beteiligten mehr Nerven für Wichtigeres haben.
Zitiervorschlag: Dominik Günter Meixner, Ja, ich will! – Die Einwilligung im Datenschutzrecht, JuWissBlog Nr. 52/2021 v. 19.05.2021, https://www.juwiss.de/52-2021/.
Dieses Werk ist lizenziert unter einer Creative Commons Namensnennung – Nicht kommerziell – Keine Bearbeitungen 4.0 International Lizenz.
