Bayerisches Landesamt fürDatenschutzaufsicht

EU-Datenschutz-Grundverordnung (DS-GVO)
Das BayLDA auf dem Weg zur Umsetzung der Verordnung
Wichtiger Hinweis zu diesem Dokument:
Die DS-GVO wird nach der Übergangsphase von zwei Jahren am 25. Mai 2018 wirksam. Die Aufsichtsbehörden sindaktuell bemüht, durch intensive Abstimmungsrunden eine einheitliche Sichtweise der neu geregelten Grundlagen undAnforderungen an den Datenschutz auf europäischer Ebene zu erzielen. Das BayLDA beteiligt sich deshalb an verschiedenen Arbeitskreisen, die sich dieser Herausforderung auch in Deutschland stellen. In der Zwischenzeit möchte dasBayLDA Interessierten einen Einblick gewähren, welche Themenkomplexe der DS-GVO derzeit auch in der bayerischen
Aufsichtsbehörde intensiv diskutiert werden. Das BayLDA veröffentlicht deshalb in regelmäßigen Abständen (geplant:zweimal im Monat) ein kurzes Papier zu einem ausgewählten Schwerpunkt. Das BayLDA weist ausdrücklich darauf hin,dass es sich hierbei um keine verbindlichen Auffassungen handelt, sondern um gegenwärtige Interpretationen und Meinungen zur DS-GVO. Kommentare zum dargestellten gegenwärtigen Verständnis nimmt das BayLDA gerne entgegen.

IX

Einwilligung nach der DS-GVO

Einwilligung nach BDSGNach dem BDSG ist eine Einwilligung nur wirksam, wenn sie freiwillig und informiert, d. h. inKenntnis des geplanten Zwecks der Erhebung,Verarbeitung oder Nutzung der personenbezogen Daten, und in aller Regel schriftlich erfolgt.
Soweit mit besonderen Arten personenbezogener Daten, z. B. Daten zu politischer Meinung,religiöser Überzeugung oder Gesundheitsdaten, umgegangen werden soll, muss sich dieEinwilligung ausdrücklich auf diese Daten beziehen (§ 4a BDSG).
Einwilligung nach DS-GVO
Die Einwilligung nach DS-GVO ist als eine
Rechtmäßigkeitsvoraussetzung für die Verarbeitung personenbezogener Daten (Art. 6 DSGVO) ebenfalls nur wirksam, wenn sie freiwillig
und – bezogen auf einen bestimmten Fall –informiert abgegeben wird. Erforderlich ist
nicht mehr die Schriftform; ausreichend ist
vielmehr eine unmissverständlich abgegebeneWillensbekundung in Form einer Erklärung
Stand: 26.10.2016

oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person
ihr Einverständnis zur Verarbeitung der sie
betreffenden Daten erteilt. Welche Form fürEinwilligungen sich auf Dauer als praktikabelerweisen wird, ist noch offen.
Nachweis des Vorliegens einer Einwilligung
Anders als bisher haben Verantwortliche
gemäß Art. 5 Abs. 2 DS-GVO die Einhaltung derRechtmäßigkeitsvoraussetzungen der Datenverarbeitung nachzuweisen (Rechenschaftspflicht - Accountability). Um dieser Verpflichtung nachzukommen, wird wohl auch inZukunft der Verantwortliche sich um eine Einwilligung in Schriftform mit handschriftlicher
Unterschrift oder mindestens in Textform(z. B. E-Mail) bemühen. Soweit Geschäfte imWesentlichen über das Internet abgewickelt
werden, dürfte, wie bisher auch, als Nachweis
eine entsprechende Dokumentation des „Einwilligungs-Klickverhaltens“ der betroffenen
Person ausreichen. Im letzteren Fall wird

www.lda.bayern.de

Bayerisches Landesamt fürDatenschutzaufsicht

jedoch der Informiertheit wieder eine größere
Bedeutung beizumessen sein, d. h., dass der
Verantwortliche auf seinen Webseiten sehr
deutlich und transparent darstellt, zu welchem
von ihm geplanten Datenumgang die betroffene Person einwilligen „soll“.
Unwirksame Einwilligung – Bußgeld?
Erweist sich eine Einwilligung als unwirksamoder kann der Verantwortliche das Vorliegeneiner Einwilligung nicht nachweisen und liegt
ein sonstiger Grund für die Rechtmäßigkeit derVerarbeitung nicht vor, ist der Umgang mit den
personenbezogenen Daten der Betroffenen
unzulässig und kann mit einem entsprechenden Bußgeld geahndet werden.
Fortgeltung von Einwilligungen
Nach EW 171 der DS-GVO ist es nicht erforderlich, dass die betroffene Person zu einer gleichartigen fortgesetzten Datenverarbeitung, zu
der sie gemäß der Datenschutz-Richtlinie
95/46/EG bzw. der entsprechenden Umsetzung durch das BDSG, eingewilligt hat, erneut
einwilligt, wenn die Art der bereits erteilten
Einwilligung den Bedingungen der DS-GVO
entspricht.
Die bisher in großer Zahl im Wirtschaftsleben
EU-weit vorhandenen Einwilligungen als
Grundlage für einen Umgang mit personenbezogenen Daten (bei Banken, Versicherungen,Ärzten, Krankenhäusern, Handel usw.) sollen
also offensichtlich wirksam bleiben und eine
große „Einwilligungsbürokratie“ auf Seiten derbetroffenen Personen und der Verantwortlichen vermeiden. Die bisherigen BDSGEinwilligungen enthalten regelmäßig nicht alle
Informationen, die nun nach Art. 13 DS-GVO
vorgesehen sind. In EW 42 der DS-GVO wird als
Kern-Informationsgehalt von Einwilligungendarauf abgestellt, dass eine vom VerantwortliStand: 26.10.2016

chen vorformulierte Einwilligungserklärung inverständlicher und leicht zugänglicher Form ineiner klaren und einfachen Sprache zur Verfügung gestellt wird, keine missverständlichen
Klauseln beinhaltet und die betroffene Personmindestens darüber informiert, wer der Verantwortliche ist und zu welchen Zwecken ihre
personenbezogenen Daten verarbeitet werdensollen. EW 171 wird also nur dann die offensichtlich vom Verordnungsgeber vorgesehenen
Auswirkungen – weitgehende Fortgeltung vonAlt-Einwilligungen – haben, wenn für AltEinwilligungen nur der in EW 42 genannte
Mindestgehalt an Information gefordert wird
und die vielfach eher formalen neuen Informationspflichten nach Art. 13 DS-GVO nicht erfüllt
sein müssen.
Frist für Fortgeltung
Nachdem eine im Gesetzgebungsverfahren
diskutierte Frist für die Fortgeltung von AltEinwilligungen sich im Normtext nicht mehr
wiederfindet, ist davon auszugehen, dass einewirksam erteilte Alt-Einwilligung grundsätzlich
auf unbestimmte Zeit fort gilt – jedenfallssolange, bis nicht aus anderen Gründen voneiner unwirksam gewordenen Einwilligung
auszugehen ist, z. B. wenn jahrelang von einer
erteilten Einwilligung kein Gebrauch gemacht
worden ist.
Ausblick zu Einwilligungen
Auch in Zukunft sind Einwilligungen einewesentliche Rechtmäßigkeitsvoraussetzung fürden Umgang mit personenbezogenen Daten.
Bisher erteilte Einwilligungen nach § 4a BDSG
gelten in aller Regel nach dem Wirksamwerden
der DS-GVO fort. Zu empfehlen ist aber dennoch, alte Einwilligungen soweit wie möglichzeitnah zu aktualisieren und bei neuen Einwilligungen die Rechtsvoraussetzungen genau zu
beachten.

www.lda.bayern.de