SCHLUSSANTRÄGE DES GENERALANWALTS

MACIEJ SZPUNAR

vom 4. März 2020 ( 1 )

Rechtssache C‑61/19

Orange România SA

gegen

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

(Vorabentscheidungsersuchen des Tribunalul Bucureşti [Landgericht Bukarest, Rumänien])

„Vorlage zur Vorabentscheidung – Richtlinie 95/46/EG – Verordnung (EU) 2016/679 – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und freier Datenverkehr – Mobiltelekommunikationsdienste – Begriff der Einwilligung der betroffenen Person – Willensbekundung für den konkreten Fall und in Kenntnis der Sachlage – Einwilligungserklärung mittels Ankreuzkästchen – Beweislast“

1. Das vorliegende Vorabentscheidungsersuchen des Tribunalul Bucureşti (Landgericht Bukarest, Rumänien) ergeht in einem Rechtsstreit zwischen einem Anbieter von Telekommunikationsdiensten und einer nationalen Datenschutzbehörde über die Verpflichtungen dieses Anbieters bei der Anfertigung und Aufbewahrung einer Kopie eines Ausweisdokuments im Zusammenhang mit Vertragsverhandlungen mit Kunden.

2. Es gibt dem Gerichtshof Gelegenheit zur weiteren Klarstellung des Begriffs der „Einwilligung“ einer betroffenen Person, einem zentralen Begriff des Datenschutzrechts der Union, der letztlich im Grundrecht auf Datenschutz wurzelt. In diesem Zusammenhang sollte sich der Gerichtshof auch mit der Frage der Beweislast dafür befassen, ob die betroffene Person ihre Einwilligung erteilt hat.

Rechtlicher Rahmen

Unionsrecht

Richtlinie 95/46/EG

3. Nach Art. 2 Buchst. h der Richtlinie 95/46/EG ( 2 ) bezeichnet der Ausdruck „Einwilligung der betroffenen Person“ im Sinne dieser Richtlinie „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“.

4. Kapitel II dieser Richtlinie enthält die allgemeinen Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten.

5. In Art. 6 dieser Richtlinie, der die „Grundsätze in Bezug auf die Qualität der Daten“ ( 3 ) enthält, heißt es: „(1) Die Mitgliedstaaten sehen vor, dass personenbezogene Daten a) nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden; b) für festgelegte eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zweckbestimmungen nicht zu vereinbarenden Weise weiterverarbeitet werden. Die Weiterverarbeitung von Daten zu historischen, statistischen oder wissenschaftlichen Zwecken ist im Allgemeinen nicht als unvereinbar mit den Zwecken der vorausgegangenen Datenerhebung anzusehen, sofern die Mitgliedstaaten geeignete Garantien vorsehen; c) den Zwecken entsprechen, für die sie erhoben und/oder weiterverarbeitet werden, dafür erheblich sind und nicht darüber hinausgehen; … (2) Der für die Verarbeitung Verantwortliche hat für die Einhaltung des Absatzes 1 zu sorgen.“

6. Art. 7 der Richtlinie 95/46 regelt die „Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten“ ( 4 ). Nach dieser Bestimmung „[sehen d]ie Mitgliedstaaten … vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist: a) Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben; b) die Verarbeitung ist erforderlich für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen; …“

Verordnung (EU) 2016/679

7. Nach Art. 4 Nr. 11 der Verordnung (EU) 2016/679 ( 5 ) bezeichnet der Ausdruck „‚Einwilligung‘ der betroffenen Person“ im Sinne dieser Verordnung „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

8. Art. 6 Abs. 1 Buchst. a und b der Verordnung lautet: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen“.

9. Art. 7 Abs. 1 der Verordnung bestimmt: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“

Rumänisches Recht

10. Die Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Gesetz Nr. 677/2001 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten und zum freien Verkehr dieser Daten, im Folgenden: Gesetz Nr. 677/2001) ( 6 ) dient der Umsetzung der Bestimmungen der Richtlinie 95/46 in innerstaatliches Recht.

11. Art. 32 dieses Gesetzes lautet wie folgt: „Die Verarbeitung personenbezogener Daten durch einen für die Verarbeitung Verantwortlichen oder eine von ihm bevollmächtigte Person, die gegen die Bestimmungen der Art. 4 bis 10 verstößt oder die in den Art. 12 bis 15 oder 17 vorgesehenen Rechte verletzt, stellt eine Ordnungswidrigkeit dar, sofern sie nicht unter Bedingungen erfolgt, nach denen sie eine Straftat darstellt, und wird mit einer Geldbuße von 10000000 [alten] Lei [1000 rumänischen Lei (RON)] bis 250000000 [alten] Lei [25000 RON] geahndet.“

Sachverhalt, Verfahren und Vorlagefragen

12. Orange România SA ist ein Anbieter von Mobiltelekommunikationsdiensten auf dem rumänischen Markt, der diese Dienste sowohl im „PrePay“-System ( 7 ) als auch mit Abschluss eines Vertrags über die Erbringung der Dienste ( 8 ) anbietet.

13. Am 28. März 2018 erließ die Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Nationale Behörde zur Überwachung der Verarbeitung personenbezogener Daten, im Folgenden: ANSPDCP) aufgrund von Art. 32 in Verbindung mit Art. 8 des Gesetzes Nr. 677/2001 einen Bescheid, mit dem sie eine ordnungswidrigkeitenrechtliche Sanktion gegen Orange România verhängte, was sie damit begründete, dass die Anfertigung und Aufbewahrung von Kopien der Ausweisdokumente ihrer Kunden ohne deren ausdrückliche Einwilligung erfolgt sei.

14. Die ANSPDCP stellte insoweit fest, Orange România habe in der Betriebsstätte mit natürlichen Personen als Kunden Verträge über Mobiltelekommunikationsdienste in Papierform geschlossen, wobei diesen Verträgen Kopien der Ausweisdokumente dieser Kunden angeheftet worden seien. In diesen Verträgen sei u. a. der Umstand vermerkt, dass der Kunde darüber unterrichtet worden sei und darin eingewilligt habe, dass diese Kopien (von Orange România) angefertigt und aufbewahrt werden, wobei das Vorliegen der Kundeneinwilligung durch Ankreuzen entsprechender Kästchen in den Vertragsunterlagen vermerkt worden sei.

15. Die relevante Passage der in Rede stehenden Verträge lautet wie folgt: „Der Kunde erklärt, dass i) er vor Abschluss des Vertrags gemäß Art. 11 der Entscheidung Nr. 158/2015 der [Autoritatea Naţională pentru Administrare şi Reglementare în Comunicaţii (Nationale Behörde für die Verwaltung und Regulierung im Bereich Kommunikation)] und der [Ordonanţa de urgenţă a Guvernului (Dringlichkeitsverordnung der Regierung)] [Nr.] 34/2014 über den gewählten Tarif, die geltenden Tarife, die Mindestlaufzeit des Vertrags, die Bedingungen für eine Beendigung des Vertrags und für den Empfang und die Nutzung der Dienste einschließlich des Abdeckungsgebiets der Dienste sowie über sein Recht, den Vertrag gemäß Art. 1.17 der AGB einseitig zu kündigen, unterrichtet wurde; ii) Orange România dem Kunden alle Informationen zur Verfügung gestellt hat, die erforderlich sind, damit er seine mangelfreie, ausdrückliche, zwangsfreie und konkrete Einwilligung hinsichtlich des Abschlusses und der ausdrücklichen Annahme des Vertrags bekunden kann, einschließlich sämtlicher Vertragsunterlagen – der AGB und der Broschüre über die Tarife und Dienstleistungen; iii) er informiert worden ist und sein Einverständnis erklärt hat hinsichtlich: der Verarbeitung personenbezogener Daten zu den in Art. 1.15 der AGB genannten Zwecken; des Einbehaltens von Kopien der Dokumente, die personenbezogene Daten mit Identifikationsfunktion enthalten, [durch Orange]; des Einverständnisses bezüglich der Verarbeitung personenbezogener Daten (Telefonnummer, E‑Mail-Adresse) zum Zweck der Direktwerbung; des Einverständnisses bezüglich der Verarbeitung personenbezogener Daten (Telefonnummer, E‑Mail-Adresse) zur Durchführung von Marktstudien; ich habe das Einbehalten von Kopien der Dokumente, die personenbezogene Daten über den Gesundheitszustand enthalten, zur Kenntnis genommen und bin ausdrücklich damit einverstanden; dass die in Art. 1.15 Abs. 10 der AGB genannten Daten nicht in die Informationsdienste betreffend die Abonnenten und in die Abonnentenverzeichnisse aufgenommen werden.“

16. Nach Ansicht der ANSPDCP hat Orange România nicht nachgewiesen, dass die Kunden ihre Entscheidung über die Anfertigung und Aufbewahrung der Kopien ihrer Ausweispapiere in voller Kenntnis aller Umstände getroffen hätten.

17. Orange România erhob beim vorlegenden Gericht Klage gegen den Bußgeldbescheid vom 28. März 2018.

18. Nach den Feststellungen des vorlegenden Gerichts gibt es sowohl Verträge, in denen der Kunde seinen Willen bezüglich des Einbehaltens einer Kopie seines Personalausweises ohne Zwang durch Ankreuzen eines Kästchens bekundet hat, als auch gegenteilige Fälle, in denen die Kunden es abgelehnt haben, die entsprechende Einwilligung zu erteilen. Wie sich aus den „internen Verfahren“ von Orange România für den Verkauf zu ergeben scheint, vermerkte Orange România in den letztgenannten Fällen die erforderlichen Angaben dazu, dass der Kunde die Einbehaltung einer Kopie des Ausweisdokuments ablehnte, durch Ausfüllen eines dafür vorgesehenen Formulars und schloss den Vertrag erst danach ab. Ungeachtet der Bestimmungen in den AGB von Orange România war es also so, dass Orange România den Abschluss von Abonnementverträgen mit Kunden auch dann nicht ablehnte, wenn diese es ablehnten, in die Einbehaltung einer Kopie ihres Personalausweises einzuwilligen.

19. Unter diesen Umständen hält es das vorlegende Gericht für besonders wichtig, dass der Gerichtshof feststellt, nach welchen Kriterien zu beurteilen ist, ob eine Einwilligung „für den konkreten Fall“ und „in Kenntnis der Sachlage“ erfolgt, sowie gegebenenfalls über den Beweiswert der Unterzeichnung von Verträgen wie dem im Ausgangsverfahren in Rede stehenden Vertrag.

20. Vor diesem Hintergrund hat das Tribunalul Bucureşti (Landgericht Bukarest) mit Entscheidung vom 14. November 2018, die am 29. Januar 2019 beim Gerichtshof eingegangen ist, folgende Fragen zur Vorabentscheidung vorgelegt: 1. Welche Voraussetzungen müssen im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 erfüllt sein, damit eine Willensbekundung als für den konkreten Fall und in Kenntnis der Sachlage erfolgt angesehen werden kann? 2. Welche Voraussetzungen müssen im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 erfüllt sein, damit eine Willensbekundung als ohne Zwang erfolgt angesehen werden kann?

21. Die Parteien des Ausgangsverfahrens, die rumänische, die italienische, die österreichische und die portugiesische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht. Orange România, die rumänische Regierung und die Europäische Kommission waren in der mündlichen Verhandlung vom 11. Dezember 2019 vertreten.

Würdigung

22. In der vorliegenden Rechtssache wird der Gerichtshof ersucht, die Voraussetzungen näher zu bestimmen, unter denen die Einwilligung in die Verarbeitung personenbezogener Daten als gültig angesehen werden kann.

Vorbemerkungen

Zu den einschlägigen Rechtsakten

23. Durch die Verordnung 2016/679, die seit dem 25. Mai 2018 gilt ( 9 ), wurde die Richtlinie 95/46 mit Wirkung vom selben Tag aufgehoben ( 10 ).

24. Der Bescheid der ANSPDCP, der Gegenstand des Ausgangsverfahrens ist, erging am 28. März 2018, also vor dem Zeitpunkt, zu dem die Verordnung 2016/679 Geltung erlangte. Allerdings hat die ANSPDCP nicht nur eine Geldbuße gegen Orange România verhängt, sondern auch verlangt, dass Orange România die in Rede stehenden Kopien der Ausweisdokumente vernichtet. Der Streit im Ausgangsverfahren bezieht sich auch auf diese letztere Anordnung. Da diese Anordnung Wirkung für die Zukunft hat, scheint die betreffende Verordnung insoweit in zeitlicher Hinsicht anwendbar zu sein.

25. Die vorgelegten Fragen sind deshalb auf der Grundlage sowohl der Richtlinie 95/46 als auch der Verordnung 2016/679 zu beantworten ( 11 ). Darüber hinaus wird die Verordnung bei der Prüfung der Bestimmungen der Richtlinie 95/46 zu berücksichtigen sein ( 12 ).

Bestimmung des Umfangs der Vorlagefragen

26. Die beiden Fragen des vorlegenden Gerichts sind zu allgemein und abstrakt gehalten, so dass es erforderlich ist, sie genauer an den Sachverhalt im Ausgangsverfahren anzupassen, um dem vorlegenden Gericht zweckdienliche Hinweise und nützliche Antworten auf die Fragen zu geben. Dazu ist es meines Erachtens unbedingt erforderlich, kurz auf den Sachverhalt des Ausgangsverfahrens einzugehen, so wie dieser aus der Entscheidung des vorlegenden Gerichts und dem Vorbringen der Parteien des Verfahrens, insbesondere in der mündlichen Verhandlung vor dem Gerichtshof, hervorgeht.

27. Rumäniens nationale Datenschutzbehörde, die ANSPDCP, erließ einen Bußgeldbescheid gegen Orange România, weil diese Kopien von Ausweisdokumenten von Kunden angefertigt und einbehalten hatte, ohne dass die Kunden ihre Einwilligung erteilt hatten. Die Behörde stellte fest, dass das Unternehmen Verträge über die Erbringung von Mobiltelekommunikationsdiensten abgeschlossen hatte, wobei die Kopien der Ausweispapiere diesen Verträgen angeheftet wurden. In diesen Verträgen wurde offenbar festgehalten, dass die Kunden über die Anfertigung und Aufbewahrung dieser Kopien informiert worden sind und ihre Einwilligung dazu erteilt haben, was durch Ankreuzen von Kästchen in den Vertragsklauseln belegt sei. Nach den Feststellungen der ANSPDCP hat Orange România jedoch keinen Nachweis dafür erbracht, dass die Kunden ihre Entscheidung über die Anfertigung und Aufbewahrung dieser Kopien zum Zeitpunkt des Vertragsabschlusses in voller Kenntnis der Sachlage getroffen hätten.

28. Wird jemand, der ein Vertragsverhältnis mit Orange România eingehen möchte, von einem Vertreter des Unternehmens über die Konditionen eines bestimmten Vertrags beraten, arbeitet der Vertreter – in der Regel an einem Computer – an einer Vertragsvorlage, die bezüglich der Aufbewahrung von Ausweispapieren ein Ankreuzkästchen vorsieht. Der Kunde wird offenbar darüber informiert, dass dieses Kästchen nicht angekreuzt zu werden braucht. Falls der Kunde nicht damit einverstanden ist, dass eine Fotokopie seines Ausweispapiers angefertigt und aufbewahrt wird, muss er dies dokumentieren, und zwar handschriftlich auf dem Vertrag. Dieses Erfordernis der handschriftlichen Dokumentierung ergibt sich offenbar aus den internen Verkaufsregeln von Orange România. Zudem wird der Kunde darüber informiert, dass er dies verweigern kann, jedoch erfolgt die Information nur mündlich und nicht schriftlich.

29. Vor diesem Hintergrund verstehe ich die beiden Fragen, die zusammen geprüft werden sollten, so, dass das vorlegende Gericht wissen möchte, ob eine betroffene Person, die mit einem Unternehmen ein Vertragsverhältnis über die Erbringung von Mobiltelekommunikationsdiensten eingehen möchte, dem Unternehmen ihre Einwilligung „ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage“ im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 und Art. 4 Nr. 11 der Verordnung 2016/679 erteilt, wenn sie ihre Verweigerung der Einwilligung in die Anfertigung und Aufbewahrung einer Fotokopie ihrer Ausweisdokumente auf einem ansonsten standardisierten Vertrag handschriftlich erklären muss.

30. Insoweit benötigt das vorlegende Gericht offenbar Hinweise zur Beweislast und zu den Beweisanforderungen bezüglich des Unternehmens.

Einwilligung als Voraussetzung für die Verarbeitung personenbezogener Daten

31. Im vorliegenden Fall geht es um die Verarbeitung personenbezogener Daten beim Abschluss eines Vertrags über die Erbringung von Telekommunikationsdiensten.

32. Jede Datenverarbeitung ( 13 ) muss erstens den in Art. 6 der Richtlinie 95/46 bzw. in Art. 5 der Verordnung 2016/679 festgelegten Grundsätzen in Bezug auf die Qualität der Daten genügen und zweitens eine der in Art. 7 der Richtlinie bzw. Art. 6 der Verordnung aufgeführten Voraussetzungen erfüllen ( 14 ). Wie die Kommission ausführt, kommt in den in Art. 7 der Richtlinie 95/46 aufgeführten sechs Voraussetzungen tatsächlich der allgemeinere, in Art. 6 Abs. 1 Buchst. a der Richtlinie niedergelegte Grundsatz zum Ausdruck, dass personenbezogene Daten nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden müssen.

33. Art. 7 der Richtlinie 95/46 enthält eine abschließende Aufzählung der Fälle, in denen die Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann ( 15 ). Die Verarbeitung personenbezogener Daten darf nur erfolgen, wenn mindestens eine der sechs Voraussetzungen für die Rechtmäßigkeit der Datenverarbeitung erfüllt ist. Eine dieser Voraussetzungen ist, dass die betroffene Person ohne jeden Zweifel ihre Einwilligung gegeben hat.

Zum Begriff der Einwilligung

34. Die Einwilligung der betroffenen Person ist in Art. 2 Buchst. h der Richtlinie 95/46 definiert als jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.

35. Dieser Wortlaut entspricht ( 16 ) weitgehend dem von Art. 4 Nr. 11 der Verordnung 2016/679, wo die Einwilligung der betroffenen Person definiert ist als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist ( 17 ).

36. Das Erfordernis der Einwilligung der betroffenen Person ist ein zentrales, dem Datenschutzrecht der Union zugrunde liegendes Merkmal ( 18 ). Es ist in der Charta der Grundrechte der Europäischen Union verankert, deren Art. 8 bestimmt, dass Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Allgemeiner gesagt ergibt sich aus dem Begriff der Einwilligung, dass es der betroffenen Person gestattet ist, selbst über die Legitimität von Beschränkungen ihres Rechts auf Schutz ihrer personenbezogenen Daten zu entscheiden ( 19 ).

37. Das Datenschutzrecht der Union beruht auf dem Leitprinzip einer selbstbestimmten Entscheidung eines Individuums, das selbst über die Nutzung und Verarbeitung seiner Daten entscheiden kann ( 20 ). Gerade das Einwilligungserfordernis gibt ihm die Möglichkeit, diese Entscheidung zu treffen, und ihm gleichzeitig in Situationen, die ihrer Natur nach zwangsläufig asymmetrisch sind, Schutz bietet ( 21 ). Nur wenn die Einwilligung ohne Zwang, auf den konkreten Fall bezogen und in voller Kenntnis der Sachlage erfolgt, erfüllt sie die in der Richtlinie 95/46 und in der Verordnung 2016/679 aufgestellten Voraussetzungen.

38. An dieser Stelle sind drei weitere kurze Anmerkungen zum offenbar unterschiedlichen Wortlaut der genannten Bestimmungen angebracht.

39. Erstens heißt es in Art. 4 Nr. 11 der Verordnung 2016/679, anders als in Art. 2 Buchst. h der Richtlinie 95/46, dass es sich um eine „unmissverständlich abgegebene“ Willensbekundung handeln muss. Dies dürfte, denke ich, einen einfachen Grund haben: Art. 7 Buchst. a der Richtlinie bestimmt hinsichtlich der Voraussetzungen für die Rechtmäßigkeit der Datenverarbeitung, wie oben bereits erwähnt, dass die betroffene Person „ohne jeden Zweifel“ ihre Einwilligung gegeben haben muss, wohingegen die entsprechende Bestimmung in der Verordnung 2016/679 – Art. 6 Abs. 1 Buchst. a – keine solche Anforderung enthält. Anders ausgedrückt wurde dieses Kriterium der unmissverständlichen Angabe schlicht in die allgemeinere Bestimmung der Verordnung 2016/679 aufgenommen.

40. Zweitens bestimmt Art. 4 Nr. 11 der Verordnung 2016/679, dass die betroffene Person ihren Willen „in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“ bekundet. Diese Klarstellung ist in der Tat ein in die Verordnung aufgenommenes neues Element, für das es keine semantische Entsprechung in der Richtlinie 95/46 gibt.

41. Drittens weicht die französische Sprachfassung der Richtlinie 95/46, was das die Einwilligung betreffende Merkmal „in Kenntnis der Sachlage“ anbelangt, von der französischen Sprachfassung der Verordnung 2016/679 ab. Während in Art. 2 Buchst. h der Richtlinie von einer „manifestation de volonté … informée“ die Rede ist, spricht Art. 4 Nr. 11 der Verordnung von einer „manifestation de volonté … eclairée“.

42. Meines Erachtens bewirkt diese Änderung des Wortlauts eher Verwirrung als eine Klarstellung, da die französische Sprachfassung die einzige, jedenfalls aber eine der sehr wenigen Sprachfassungen ist, die eine solche Unterscheidung treffen. Eine Reihe von Sprachfassungen, darunter übrigens die der anderen romanischen Sprachen, verwenden an dieser Stelle schlicht genau dieselben Ausdrücke ( 22 ), während andere Sprachfassungen insoweit wohl leichte Unterschiede aufweisen, die jedoch weniger gravierend sind als diejenigen in der französischen Sprachfassung ( 23 ).

43. Auf den Begriff der „in Kenntnis der Sachlage“ erfolgten bzw. „in informierter Weise“ abgegebenen Einwilligung werde ich nachstehend zurückkommen.

Freiwillig erteilte Einwilligung

44. Das Erfordernis einer „Willensbekundung“ der betroffenen Person deutet klar auf ein aktives und nicht passives Verhalten hin ( 24 ) und erfordert, dass die betroffene Person über ein hohes Maß an Autonomie verfügt, wenn sie sich entscheidet, ihre Einwilligung zu erteilen oder nicht zu erteilen ( 25 ). In Bezug auf die konkrete Situation eines Online-Gewinnspiels auf einer Website hat der Gerichtshof festgestellt, dass eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, kein aktives Verhalten des Nutzers der Website impliziert ( 26 ).

45. Meiner Ansicht nach gilt diese Feststellung gleichermaßen für die analoge Welt: Die Einwilligung in Form eines voreingestellten Ankreuzkästchens kann nicht die aktive Einwilligung derjenigen Person implizieren, die mit einem physischen Dokument zu tun hat, das sie letztendlich unterzeichnet. In einer solchen Situation weiß man nämlich nicht, ob ein solcher vorformulierter Text gelesen und verstanden wurde. Die Situation ist nicht frei von Zweifeln. Der Text mag gelesen worden sein oder auch nicht. Der „Leser“ mag dies aus reiner Nachlässigkeit vergessen haben; es ist daher unmöglich, klar festzustellen, ob die Einwilligung freiwillig erteilt wurde ( 27 ).

Einwilligung in Kenntnis der Sachlage

46. Es muss völlig außer Zweifel stehen, dass die betroffene Person ausreichend informiert wurde ( 28 ).

47. Die betroffene Person muss über alle die Datenverarbeitung und deren Folgen betreffenden Umstände informiert werden. Insbesondere muss sie wissen, welche Daten verarbeitet werden, wie lange die Verarbeitung andauert, in welcher Weise und zu welchem spezifischen Zweck sie erfolgt. Die betroffene Person muss außerdem wissen, wer die Daten verarbeitet und ob die Daten dazu bestimmt sind, an Dritte übermittelt zu werden. Entscheidend ist, dass sie darüber informiert wird, welche Folgen es hat, wenn sie die Einwilligung verweigert, d. h., ob die Einwilligung in die Datenverarbeitung Voraussetzung für den Vertragsabschluss ist oder nicht ( 29 ).

Zur Beweislast

48. Damit bleibt für uns die Frage, wem es obliegt, nachzuweisen, dass sich die betroffene Person in einer Lage befand, die es ihr ermöglichte, ihre Einwilligung gemäß den soeben ermittelten Kriterien zu erteilen.

49. Art. 7 Abs. 1 der Verordnung 2016/679 ist eindeutig und lässt keinen Raum für Zweifel: Beruht die Verarbeitung auf einer Einwilligung, so muss der Verantwortliche nachweisen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat ( 30 ). Diese Bestimmung stellt einen besonderen Ausdruck des in Art. 5 Abs. 2 der Verordnung 2016/679 verankerten Grundsatzes der Rechenschaftspflicht dar. Meines Erachtens erfordert der Zweck dieser Bestimmung eine weite Auslegung, da der Verantwortliche nicht nur nachweisen muss, dass die betroffene Person ihre Einwilligung erteilt hat, sondern auch nachweisen muss, dass sämtliche Wirksamkeitsvoraussetzungen vorliegen ( 31 ).

50. Einige Autoren bezweifeln, dass es in Art. 7 Abs. 1 der Verordnung 2016/679 um die Beweislast geht, und weisen insoweit auf die Entstehungsgeschichte dieser Verordnung hin ( 32 ). Es wird geltend gemacht, dass zwar in dem sowohl von der Kommission als auch vom Parlament vorgeschlagenen Wortlaut ausdrücklich von der „Beweislast“ die Rede sei, diese Formulierung jedoch im angenommenen Text und damit im geltenden Recht nicht vorkomme.

51. Diese Auffassung verdient eine genauere Untersuchung.

52. Im ursprünglichen Vorschlag der Kommission ( 33 ) ist in der Tat von der „Beweislast“ die Rede, die der Verantwortliche zu tragen hat. Das Parlament hat diese Formulierung in erster Lesung ( 34 ) nicht in Frage gestellt. Erst der Rat ( 35 ) hat den Begriff „Beweislast“ durch die Formulierung „muss der Verantwortliche nachweisen können“ ersetzt. Der endgültige Text wurde sodann in dieser Form angenommen.

53. Ich würde dieser Änderung des Wortlauts keine allzu große Bedeutung beimessen ( 36 ). Der Rat legt nirgends in den Erwägungsgründen seines Standpunkts Gründe für die vorgeschlagene Änderung des Wortlauts dar ( 37 ). Dies deutet darauf hin, dass es dem Organ lediglich um eine Änderung des Wortlauts der betreffenden Bestimmung ging, nicht um eine Änderung ihrer Bedeutung. So betrachtet stellt die Wendung „muss … nachweisen können“ tatsächlich eine leichter verständliche Beschreibung dessen dar, was mit „Beweislast“ gemeint ist ( 38 ).

54. Wir dürfen daher annehmen, dass Art. 7 Abs. 1 der Verordnung 2016/679 die Beweislast für die Einwilligung der betroffenen Person in die Verarbeitung personenbezogener Daten dem Verantwortlichen auferlegt ( 39 ). Jegliche Zweifel an der Erteilung der Einwilligung durch die betroffene Person müssen durch vom Verantwortlichen zu erbringenden Beweis ausgeräumt werden ( 40 ). Die Beweislast dafür, dass die betroffene Person in die Lage versetzt wurde, ihre Einwilligung ohne Zwang, auf den konkreten Fall bezogen und in voller Kenntnis der Sachlage zu erteilen, liegt daher eindeutig bei der Stelle, die die Verarbeitung durchführt.

55. Nach der Richtlinie 95/46 stellt sich die Rechtslage insoweit nicht anders dar.

56. Wenngleich die Richtlinie 95/46 keine gesonderte Bestimmung enthielt, die Art. 7 der Verordnung 2016/679 hinsichtlich der Bedingungen für die Einwilligung vergleichbar wäre, waren die meisten in dieser Vorschrift niedergelegten Bedingungen auch in der Richtlinie zu finden. Auch wenn die Beweislastregel nicht ausdrücklich in der Richtlinie niedergelegt ist, folgt sie doch mittelbar aus der Bestimmung ( 41 ), in der es heißt: „Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben“ ( 42 ).

Zur Situation von Orange România

57. Nunmehr möchte ich mich der Anwendung dieser Kriterien auf den vorliegenden Fall zuwenden.

58. Vorab möchte ich anmerken, dass die Frage, ob Orange România von den Kunden verlangen kann, in das Kopieren und Aufbewahren ihrer Ausweisdokumente einzuwilligen, außerhalb des Gegenstands dieser Rechtssache liegt, da dies für das betreffende Unternehmen keine Voraussetzung für den Vertragsabschluss ist. Mit anderen Worten: Im vorliegenden Fall geht es nicht um die Auslegung von Art. 7 Buchst. b der Richtlinie 95/46 bzw. Art. 6 Abs. 1 Buchst. b der Verordnung 2016/679. Gleichwohl halte ich es für legitim, dass eine Firma ihre Kunden bittet, einige personenbezogene Daten, insbesondere zum Nachweis ihrer Identität, für die Zwecke des Vertragsabschlusses anzugeben. Vom Kunden zu verlangen, dass er darin einwilligt, dass eine Kopie seiner Ausweisdokumente angefertigt und aufbewahrt wird, dürfte jedoch über das für die Vertragserfüllung Erforderliche hinausgehen.

59. Auf der Grundlage der vorliegenden Informationen scheint mir, dass die Kunden von Orange România unter den vom vorlegenden Gericht beschriebenen Umständen ihre Einwilligung nicht ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erteilen.

60. Erstens fehlt es an einer freiwillig gegebenen Einwilligung. Vom Kunden zu verlangen, dass er handschriftlich erklärt, dass er die Einwilligung in die Anfertigung und Aufbewahrung einer Kopie seines Personalausweises verweigert, ermöglicht insofern keine freiwillige Erteilung der Einwilligung, als der Kunde in eine Lage gebracht wird, in der er merklich vom gewöhnlichen Vertragsschlussverfahren abweicht. Kunden dürfen in diesem Zusammenhang nicht den Eindruck haben, dass ihre Weigerung, in die Anfertigung und Aufbewahrung einer Kopie ihrer Ausweisdokumente einzuwilligen, nicht mit der gewöhnlichen Verfahrensweise in Einklang steht. Insoweit möchte ich daran erinnern, dass der Gerichtshof einem aktiven Verhalten, mit dem die betroffene Person ihre Einwilligung bekundet, große Bedeutung beigemessen hat ( 43 ). Die Erteilung der Einwilligung erfordert daher ein positives Handeln der betroffenen Person. Im vorliegenden Fall scheint es aber genau umgekehrt zu sein: Positives Handeln ist erforderlich, um die Einwilligung zu verweigern. Um nochmals auf das Urteil in der Rechtssache Planet49 ( 44 ) zurückzukommen: Wenn es schon zu hohe Anforderungen an den Kunden stellt, das in einem Ankreuzkästchen auf einer Website voreingestellte Häkchen zu entfernen, dann kann von einem Kunden vernünftigerweise erst recht nicht erwartet werden, dass er seine Verweigerung der Einwilligung in handschriftlicher Form erklärt.

61. Zweitens fehlt es an einer in Kenntnis der Sachlage erteilten Einwilligung. Dem Kunden wird nicht unmissverständlich erklärt, dass der Vertragsabschluss dadurch, dass er die Anfertigung und Aufbewahrung einer Kopie seines Personalausweises verweigert, nicht unmöglich wird. Ein Kunde, der sich der Folgen nicht bewusst ist, entscheidet nicht in voller Kenntnis der Sachlage.

62. Drittens – und lediglich auf hypothetischer Grundlage – ist festzustellen, dass es keinerlei Hinweise darauf gibt, dass Orange România die Einwilligung der Kunden in die Verarbeitung ihrer personenbezogenen Daten nachweisen konnte. Insoweit ist der offensichtliche Mangel an Klarheit bei den internen Verfahren der Beibringung von Beweisen für die Erteilung der Kundeneinwilligung sicherlich nicht förderlich. Eine solche mangelnde Klarheit und widersprüchliche Anweisungen an das Verkaufspersonal dürfen jedoch offensichtlich nicht zulasten des Kunden gehen, der in diesem Fall die betroffene Person ist.

Ergebnis

63. Angesichts der vorstehenden Ausführungen schlage ich dem Gerichtshof vor, die vom Tribunalul Bucureşti (Landgericht Bukarest, Rumänien) vorgelegten Fragen wie folgt zu beantworten: Eine betroffene Person, die ein Vertragsverhältnis über die Erbringung von Mobiltelekommunikationsdiensten mit einem Unternehmen einzugehen beabsichtigt, erteilt dem Unternehmen keine „Einwilligung“, d. h. bekundet nicht „ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage“ ihren Willen, im Sinne von Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und von Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), wenn sie auf einem ansonsten standardisierten Vertrag handschriftlich erklären muss, dass sie die Einwilligung in die Anfertigung und Aufbewahrung von Fotokopien ihrer Ausweispapiere verweigert.

( 1 ) Originalsprache: Englisch.

( 2 ) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31).

( 3 ) Art. 6 ist der einzige Artikel in Kapitel II Abschnitt I der Richtlinie 95/46.

( 4 ) Art. 7 ist der einzige Artikel in Kapitel II Abschnitt I der Richtlinie 95/46.

( 5 ) Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1).

( 6 ) Monitorul Oficial al României, Partea I, Nr. 790 vom 12. Dezember 2001.

( 7 ) In diesem Fall wird der Preis der zu erbringenden Dienste vom Empfänger der Dienste im Voraus gezahlt.

( 8 ) In diesem Fall zahlt der Empfänger der Dienste den Preis der vom Unternehmen erbrachten Dienste nach deren Erbringung auf Grundlage der erteilten Rechnungen.

( 9 ) Gemäß Art. 99 Abs. 2 der Verordnung 2016/679.

( 10 ) Siehe Art. 94 Abs. 1 der Verordnung 2016/679.

( 11 ) Vgl. Urteil vom 1. Oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, Rn. 38 bis 43), wo in vergleichbarer Situation ähnlich verfahren wurde, sowie meine Schlussanträge in derselben Rechtssache (C‑673/17, EU:C:2019:246, Nrn. 44 bis 49). Vgl. auch Urteil vom 11. Dezember 2018, Weiss u. a. (C‑493/17, EU:C:2018:1000, Rn. 39).

( 12 ) Vgl. Urteil vom 24. September 2019, GC u. a. (Auslistung sensibler Daten) (C‑136/17, EU:C:2019:773, Rn. 33).

( 13 ) Offensichtlich vorbehaltlich der in Art. 13 der Richtlinie 95/46 vorgesehenen Ausnahmen und Einschränkungen und der in Art. 23 der Verordnung 2016/679 vorgesehenen Beschränkungen.

( 14 ) Vgl. Urteil vom 16. Januar 2019, Deutsche Post (C‑496/17, EU:C:2019:26, Rn. 57). Vgl. auch Urteile vom 13. Mai 2014, Google Spain und Google (C‑131/12, EU:C:2014:317, Rn. 71 und die dort angeführte Rechtsprechung), und vom 11. Dezember 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, Rn. 36).

( 15 ) Vgl. Urteile vom 24. November 2011, ASNEF (C‑468/10 und C‑469/10, EU:C:2011:777, Rn. 30), vom 19. Oktober 2016, Breyer (C‑582/14, EU:C:2016:779, Rn. 57), und vom 1. Oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, Rn. 53).

( 16 ) Vgl. auch Bygrave, L. A., Tosoni, L., in Kuner, C., Bygrave, L. A., Docksey, C. (Hrsg.), The EU General Data Protection Regulation (GDPR), OUP, Oxford 2020, Art. 4 Nr. 11, C.1., S. 181.

( 17 ) Diese Kriterien sind offenkundig kumulativer Natur, was bedeutet, dass es eine hohe Schwelle für eine gültige Einwilligung gibt, vgl. Bygrave, L. A., Tosoni, L., in Kuner, C., Bygrave, L. A., Docksey, C. (Hrsg.), The EU General Data Protection Regulation (GDPR), OUP, Oxford 2020, Art. 4 Nr. 11, C.1., S. 181.

( 18 ) Vgl. meine Schlussanträge in der Rechtssache Planet49 (C‑673/17, EU:C:2019:246, Nrn. 57 ff.). Vgl. auch Heckmann, D., Paschke, A., in Ehmann, E., Selmayr, M. (Hrsg.), Datenschutz-Grundverordnung, Kommentar, C. H. Beck, München, 2. Aufl., 2018, Art. 7 Rn. 9: „entscheidender Grundpfeiler des Datenschutzes“.

( 19 ) Vgl. in diesem Sinne Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, S. 232, der vom Recht auf informationelle Selbstbestimmung spricht (so wie dieses vom deutschen Bundesverfassungsgericht seit dem Urteil des Ersten Senats vom 15. Dezember 1983, 1 BvR 209/83, BVerfG 65,1, entwickelt wurde).

( 20 ) Vgl. auch Klement, J. H., in Simitis, S., Hornung, G., Spieker genannt Döhmann, I. (Hrsg.), Datenschutzrecht, Nomos, Baden-Baden 2019, Art. 7, Rn. 1, wo hervorgehoben wird, dass in einer auf Würde, individueller Freiheit und Verantwortlichkeit beruhenden und diese Werte fördernden Rechtsordnung die Verarbeitung personenbezogener Daten durch eine selbstbestimmte Entscheidung der betroffenen Person legitimiert sein muss.

( 21 ) Vgl. auch 43. Erwägungsgrund der Verordnung 2016/679, der sich auf Fälle bezieht, in denen „zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht“ bestehen kann.

( 22 ) Siehe z. B. die spanische („manifestación de voluntad … informada“), die portugiesische („manifestação de vontade … informada“), die rumänische („manifestare de voință … informată“), die dänische („informeret viljetilkendegivelse“), die schwedische („informerad viljeyttring“) und die maltesische („infurmata“) Sprachfassung.

( 23 ) Siehe z. B. die niederländische („op informatie berustende wilsuiting“ in der Richtlinie und „geïnformeerde wilsuiting“ in der Verordnung), die polnische („świadome … wskazanie“ in der Richtlinie und „świadome … okazanie woli“ in der Verordnung) und die deutsche („Willensbekundung, die … in Kenntnis der Sachlage erfolgt“ in der Richtlinie und „in informierter Weise … abgegebene Willensbekundung“ in der Verordnung) Sprachfassung.

( 24 ) Vgl. Urteil vom 1. Oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, Rn. 52).

( 25 ) Vgl. Bygrave, L. A., Tosoni, L., in Kuner, C., Bygrave, L. A., Docksey, C. (Hrsg.), The EU General Data Protection Regulation (GDPR), OUP, Oxford 2020, Art. 4 Nr. 11, C.1., S. 182.

( 26 ) Ebd.

( 27 ) Vgl. entsprechend meine Schlussanträge in der Rechtssache Planet49 (C‑673/17, EU:C:2019:246, Nr. 62). Vgl. auch Urteil vom 1. Oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, Rn. 55).

( 28 ) Letztlich beruht die Einwilligung in Kenntnis der Sachlage auf dem Grundsatz der Transparenz, wie er in Art. 5 Abs. 1 Buchst. a der Verordnung 2016/679 verankert ist, vgl. Bygrave, L. A., Tosoni, L., in Kuner, C., Bygrave, L. A., Docksey, C. (Hrsg.), The EU General Data Protection Regulation (GDPR), OUP, Oxford 2020, Art. 4 Nr. 11, C.4., S. 184.

( 29 ) Nach Ansicht einiger Autoren ist der Katalog von Informationen in den Art. 10 und 11 der Richtlinie 95/46 nicht abschließend, so dass der Verantwortliche der betroffenen Person auch andere relevante Informationen zu den Bedingungen für die Verwendung personenbezogener Daten geben kann. Vgl. z. B. Mednis, A., „Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46“, Monitor Prawniczy (dodatek) 2012, Nr. 7, S. 27.

( 30 ) Nach dieser Bestimmung ist der Verantwortliche dafür verantwortlich, dass die personenbezogenen Daten rechtmäßig, fair und in transparenter Weise verarbeitet werden, was er in Bezug auf die betroffene Person nachweisen können muss.

( 31 ) Vgl. in diesem Sinne auch Stemmer, B., in Brink, S., Wolff, H. A., Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. Aufl., Stand 1. November 2019, Art. 7 DSGVO, Rn. 87, und Buchner, J., Kühling, B., in Buchner, J., Kühling, B. (Hrsg.), Datenschutz-Grundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. Aufl., 2018, Art. 7 DS‑GVO, Rn. 22.

( 32 ) Vgl. Klement, J. H., in Simitis, S., Hornung, G., Spieker genannt Döhmann, I. (Hrsg.), Datenschutzrecht, Nomos, Baden-Baden 2019, Art. 7, Rn. 46.

( 33 ) Im ursprünglichen Vorschlag der Kommission lautete Art. 7 Abs. 1 wie folgt: „Der für die Verarbeitung Verantwortliche trägt die Beweislast dafür, dass die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für eindeutig festgelegte Zwecke erteilt hat.“ Vgl. Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), KOM(2012) 11 endgültig, S. 51.

( 34 ) In erster Lesung hat das Parlament keine Änderung des Wortlauts von Art. 7 Abs. 1 in Bezug auf das Wort „Beweislast“ vorgeschlagen. Es begnügte sich vielmehr mit der Klarstellung, dass Art. 7 Abs. 1 den Fall der Verarbeitung auf Grundlage einer Einwilligung betrifft. Vgl. Legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung) COM(2012) 11, ABl. 2017, C 378, S. 399, auf S. 428.

( 35 ) „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Vgl. Standpunkt (EU) Nr. 6/2016 des Rates in erster Lesung im Hinblick auf den Erlass der Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), angenommen vom Rat am 8. April 2016, ABl. 2016, C 159, S. 1, auf S. 36.

( 36 ) Vgl. in diesem Sinne auch Kosta, E., in Kuner, C., Bygrave, L. A., Docksey, C. (Hrsg.), The EU General Data Protection Regulation (GDPR), OUP, Oxford 2020, Art. 7, C.2., S. 349‑350.

( 37 ) Vgl. insbesondere die Erwägungsgründe 42 und 43, in denen Art. 7 begründet wird.

( 38 ) Eine interessante begriffliche Erklärung dafür, dass der Verantwortliche die Beweislast trägt, gibt Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen 2006, S. 243-245, der eine Analogie zu der nach nationalem Recht gegebenen Situation bezüglich der Arzthaftung zieht, wo die Beweislast ebenfalls derjenige trägt, der in das betreffende Rechtsgut eingreift.

( 39 ) Dies entspricht auch der ganz überwiegend vertretenen Ansicht in der Literatur, vgl. Klabunde, A., in Ehmann, E., Selmayr, M. (Hrsg.), Datenschutz-Grundverordnung, Kommentar, 2. Auf., C. H. Beck, München 2018, Art. 4, Rn. 52; Stemmer, B., in Brink, S., Wolff, H. A., Beck’scher Onlinekommentar Datenschutzrecht, C. H. Beck, München, 30. Aufl., Stand 1. November 2019, Art. 7 DSGVO, Rn. 87, und Buchner, J., Kühling, B., in Buchner, J., Kühling, B. (Hrsg.), Datenschutz-Grundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. Aufl., 2018, Art. 7 DS‑GVO, Rn. 22, und Barta, P., Kawecki, M., in Litwiński, P. (Hrsg.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C. H. Beck, Warschau 2018, Art. 7 der Verordnung, Rn. 1.

( 40 ) Siehe auch in diesem Sinne Heckmann, D., Paschke, A., in Ehmann, E., Selmayr, M. (Hrsg.), Datenschutz-Grundverordnung, Kommentar, C. H. Beck, München, 2. Aufl., 2018, Art. 7 Rn. 72.

( 41 ) Vgl. Art. 7 Buchst. a der Richtlinie 95/46. Hervorhebung nur hier.

( 42 ) Vgl. in diesem Sinne neben vielen anderen auch Buchner, J., Kühling, B., in Buchner, J., Kühling, B. (Hrsg.), Datenschutz-Grundverordnung/BDSG, Kommentar, C. H. Beck, München, 2. Aufl., 2018, Art. 7 DS‑GVO, Nrn. 5 und 22.

( 43 ) Vgl. Urteil vom 1. Oktober 2019, Planet49 (C‑673/17, EU:C:2019:801, Rn. 54).

( 44 ) Vgl. Urteil vom 1. Oktober 2019 (C‑673/17, EU:C:2019:801).