Welche Daten dürfen ohne Zustimmung verarbeitet werden und welche benötigen die persönliche Zustimmung?

Fachbeitrag

In unserer Artikelreihe zur EU-Datenschutz-Grundverordnung (DSGVO) geht es diesmal um die Einwilligung des Betroffenen in die Erhebung, Verarbeitung und Nutzung seiner personenbezogenen Daten. Es werden nach einer kurzen Einführung die wichtigsten aktuell geltenden Voraussetzungen an eine rechtsgültige Einwilligung aufgezeigt, verbunden mit der Frage, ob sich an diesen ab 2018 durch die Einführung der DSGVO etwas ändern wird.

Einführung: Datenschutz ist Grundrechtsschutz

Die Einwilligung des Betroffenen in die Verarbeitung seiner personenbezogenen Daten ist ein zentraler Bestandteil des Datenschutzrechts. Datenschutz bedeutet Grundrechtsschutz. Es geht darum, dass der Einzelne ein Recht auf Datenschutz, Privatsphäre und informationelle Selbstbestimmung hat. Hinter letzterem Begriff verbirgt sich nichts anderes als das Recht eines jeden Bürgers, selbst zu bestimmen, wer welche Informationen über ihn erhält. Garantiert werden dieses Rechte sowohl durch das Grundgesetz (Art. 2 Abs. 1, Art.1 Abs. 1 GG), als auch durch die Grundrechtscharta der Europäischen Union, die in Artikel 8 sogar ausdrücklich die personenbezogenen Daten des Einzelnen schützt. Durch die Einwilligung wird die betroffene Person in die Lage versetzt, über sein Persönlichkeitsrecht zu verfügen und persönliche Informationen über sich selbst preiszugeben oder eben nicht.

Grundrechte sind in erster Linie Abwehrrechte gegen den Staat, die aber die Möglichkeit bieten, diese Abwehrrechte durch sog. einfachgesetzlichen Regelungen auszugestalten. Solch ein Gesetze ist z.B. das Bundesdatenschutzgesetz (BDSG). Die 2018 in Kraft tretende Datenschutz-Grundverordnung ist dagegen höherrangiges Recht und legt direkt anwendbar im Detail fest, wie die von ihr betroffenen Persönlichkeitsrechte konkret ausgestaltet sind und wem gegenüber sie gelten sollen. Letzteres ist auch für den Datenschutz wichtig, da ein Recht auf Privatsphäre nicht nur gegenüber dem Staat gilt, sondern auch gegenüber nicht-öffentlichen Stellen wie etwa Unternehmen aus der Wirtschaft.

Ausgangslage: Verbot mit Erlaubnisvorbehalt

Im Datenschutzrecht gilt das sog. Verbot mit Erlaubnisvorbehalt, die Datenverarbeitung ist also generell verboten, so lange sie nicht durch ein Gesetz ausdrücklich erlaubt ist oder der Betroffene in die Verarbeitung eingewilligt hat. Dieser Grundsatz bleibt komplett erhalten, auch die EU-Datenschutz-Grundverordnung hält an dem Verbot mit Erlaubnisvorbehalt fest.

Bezogen auf die Einwilligung heißt es dazu in Artikel 6 Nr.1a DSGVO:

„1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere festgelegte Zwecke gegeben;“

Was sind die Anforderungen an eine rechtsgültige Einwilligung?

Um sicherzustellen, dass der Betroffene in der Ausübung seines Persönlichkeitsrechts nicht eingeschränkt wird, muss die Einwilligung in die Datenverarbeitung gewisse Voraussetzungen erfüllen. Bisher wurden diese Anforderungen an die Einwilligung im Wesentlichen durch § 4a BDSG und für den Bereich der elektronischen Medien zusätzlich durch § 13 Abs. 2 Telemediengesetz (TMG) geregelt. Die Datenschutz-Grundverordnung beschreibt dagegen in Art. 7 DSGVO die „Bedingungen für die Einwilligung“. Darüber hinaus enthält die EU-Datenschutz-Grundverordnung zahlreiche Erwägungsgründe, mit denen Ziele und Zwecke der eigentlichen Regelungen erläutert werden, um die Regelungen selbst entsprechend auslegen zu können. Die wichtigsten Anforderungen an eine rechtsgültige Einwilligung sind bisher regelmäßig:

• Die freie Entscheidung des Betroffenen:
  Die Abgabe der Einwilligungserklärung des Betroffenen muss absolut freiwillig erfolgen. Der Betroffene muss also in der Lage sein, eine echte Wahl zu treffen, d.h. er darf im Zuge der Einholung der Einwilligung nicht vor vollendete Tatsachen gestellt werden oder sonst in seiner Entscheidungskraft eingeschränkt werden.

• Ausführliche, erkennbare und bestimmte Information des Betroffenen:
  Der Betroffene muss vor Abgabe der Einwilligungserklärung über den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten im Einzelnen informiert werden. Dabei müssen alle weitere für den konkreten Fall entscheidungsrelevanten Informationen enthalten sein und diese müssen darüber hinaus auch hinreichend bestimmt sein, der Zweck der Verarbeitung darf also nicht zu allgemein gehalten werden. Der betroffene muss außerdem in der Lage sein, die Informationen leicht zu erkennen und auch als Einwilligung zu identifizieren.

• Schriftform der Einwilligungserklärung:
  Grundsätzlich muss laut § 4a Abs. 1 BDSG die Einwilligung in Schriftform erfolgen, nur in speziellen Ausnahmefällen darf davon abgewichen werden. Die Möglichkeit der einfachen elektronischen Einwilligung im Bereich Internet und E-Mail wird derzeit nur durch das Telemediengesetz (§ 13 Abs. 2 TMG) geschaffen, welches in diesen speziellen Fällen zur Anwendung kommt.

• Widerruflichkeit der Einwilligungserklärung:
  Es muss sichergestellt sein, dass der Betroffene seine Einwilligung jederzeit widerrufen kann, damit er weiterhin über sein Persönlichkeitsrecht verfügen kann.

Bleibt es bei der Freiwilligkeit?

Ja. Auch die Datenschutz-Grundverordnung setzt die Freiwilligkeit der Einwilligung als Wirksamkeitserfordernis voraus. Art. 7 Nr. 4 DSGVO stellt insofern klar, dass die Einwilligung ohne Zwang erfolgen muss. Darüber hinaus werden in Erwägungsgrund 32 und 34 noch Ausführungen dazu gemacht, wann eine Einwilligung als freiwillig anzusehen ist und wann dies nicht der Fall ist. Die Datenschutz-Grundverordnung wird in diesem Zusammenhang in Art. 7 Nr. 4 DSGVO besonders deutlich, was das sog. „Kopplungsverbot“ betrifft. Dieses besagt in dem Fall, dass der Abschluss eines Vertrages nicht von der Verarbeitung weiterer Daten abhängig gemacht werden darf, die für die eigentliche Vertragsdurchführung gar nicht benötigt werden.

Ändert sich etwas an der Informationspflicht?

Auch hier bleibt alles beim Alten. Art. 6 Nr. 1 a DSGVO besagt, dass die Datenverarbeitung nur rechtmäßig ist, wenn der Betroffene die Einwilligung für einen oder mehrere bestimmte Zwecke abgegeben hat. Es bleibt also dabei, dass die Einwilligung jeweils an einen bestimmten Zweck gebunden sein soll, der auch hinreichend bestimmt erläutert werden muss. Auch in Erwägungsgrund 25 wird darauf hingewiesen, dass sich eine Einwilligung nur auf die jeweils angegeben Verarbeitungszwecke bezieht und für sämtliche Verarbeitungszwecke eine Einwilligung abgegeben werden soll. Im Bereich Erkennbarkeit der Einwilligung für den Betroffenen gibt Art. 7 Nr. 2 DSGVO ähnlich wie das BDSG Vorgaben zur Erkennbarkeit, vor allem wenn die Einwilligung zusammen mit anderen Erklärungen abgegeben werden soll. In diesem Fall muss die Einwilligung deutlich hervorgeheben werden. Im Falle der Verarbeitung von besonders sensiblen Arten von personenbezogenen Daten, muss sich die Einwilligung ausdrücklich auf diese beziehen, Art. 9 Nr. 2 a) DSGVO.

In welcher Form muss die Einwilligung abgegeben werden?

Nach wie vor kann dies auf schriftlichem oder im Bereich der elektronischen Medien auf elektronischem Wege geschehen. Dogmatisch gesehen wird die einfache elektronische Einwilligung nun aber direkt durch die Datenschutz-Grundverordnung möglich, da diese nicht mehr wie das BDSG von einem grundsätzlichen Schriftformerfordernis ausgeht. Die DSGVO verlangt durch Art. 7 Nr. 1 DSGVO nur noch die Nachweisbarkeit der Einwilligung durch die verantwortliche Stelle. Eine konkrete Formvorschrift wird nicht genannt. In Erwägungsgrund 32 zur Datenschutz-Grundverordnung wird außerdem klargestellt, dass die Einwilligung nur durch eine eindeutige Handlung zustande kommen soll, die auch in elektronischer Form erfolgen kann. Damit ist regelmäßig eine aktive Handlung des Nutzers durch Opt-In (z.B. Setzen eines Häkchens) notwendig, andere Varianten wie eine stillschweigende Zustimmung oder Opt-Out (z.B. Entfernen eines Häkchens) sind dagegen nicht mehr möglich.

Muss es weiterhin die Möglichkeit zum Widerruf geben?

Auch hier ist keine Änderung in Sicht. Die Datenschutz-Grundverordnung bestimmt in Art. 7 Nr. 3 DSGVO dass der Betroffene ein Recht zum Widerruf seiner Einwilligung hat, er vor Abgabe der Einwilligung über sein Widerrufsrecht aufgeklärt werden muss und der Widerruf der Einwilligung genauso leicht möglich sein muss, wie die Abgabe selbst.

Gibt es überhaupt grundlegende Neuerungen?

Eine Neuerung bietet die EU-Datenschutz-Grundverordnung im Bereich der Einwilligung von Minderjährigen unter 16 Jahren (bzw. unter 13 Jahren wenn das nationale Recht dies vorsieht). Diese sollen generell nur wirksam sein, wenn und insoweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird, Art. 8 Nr. 1 DSGVO.

Fazit

Die grundsätzlichen Anforderungen an die Wirksamkeit einer rechtsgültigen Einwilligung werden durch die DSGVO nicht verändert und der Schutz von Minderjährigen wird zusätzlich gestärkt. Durch die Einwilligung lässt sich neben bestehenden Gesetzen eine zusätzliche Rechtsgrundlage für die Datennutzung schaffen, die in ihren Möglichkeiten sehr weitgehend sein kann. Es ist gerade deswegen wichtig, dass eine Einwilligung nur dann möglich ist und weiterhin möglich sein wird, wenn die Betroffenen durch die Einhaltung der oben genannten Grundsätze in die Lage versetzt werden, aufgeklärt und frei über ihr Persönlichkeitsrecht zu verfügen.

Hier finden Sie weitere ausgewählte Artikel zur EU-Datenschutz-Grundverordnung.

Über den Autor

Der Beitrag wurde von Dr. Datenschutz geschrieben. Unsere Mitarbeiter, dies sind in der Regel Juristen mit IT-Kompetenz, veröffentlichen Beiträge unter diesem Pseudonym. mehr →

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

DSGVO Beratung

Haben Sie Themen- oder Verbesserungsvorschläge? Kontaktieren Sie uns anonym hier.