Source: http://www.humanistische-union.de/nc/publikationen/vorgaenge/online_artikel/online_artikel_detail/back/vorgaenge-221222/article/die-dsgvo-die-wichtigsten-neuerungen-aus-sicht-der-verbraucherinnen-1/
Timestamp: 2019-08-26 07:09:12+00:00

Document:
Datenschutz, Aufmacher - 18.05.18
Die EU-Datenschutz-Grundverordnung – die wichtigsten Neuerungen aus Verbrauchersicht
Marit Hansen / Sven Polenz
Die Postfächer quellen derzeit über, weil alle die Vorgaben der neuen Datenschutz-Grundverordnung erfüllen wollen. Die Mehrzahl dieser Benachrichtigungen dürfte wertlos und überflüssig sein, weil sie nicht die Anforderungen an eine wirksame Einwilligungserklärung erfüllen. Wie eine rechtsverbindliche Einwilligung aussehen muss, welche neuen Rechte die Verbraucher*innen haben und was die Verordnung sonst an Neuerungen enthält, stellen Marit Hansen und Sven Polenz vor.
... Eine riesige Gesetzesanpassungswelle rollt durch Deutschland, da nicht nur auf Bundesebene, sondern auch in den Bundesländern im Sinne der Rechtsklarheit Hunderte, vielleicht Tausende von Gesetzen, Verordnungen, Erlassen oder Staatsverträgen angepasst werden müssen. Für die Verbraucher*innen in Deutschland besonders wichtig sind aber vor allem zwei Gesetze: die DSGVO selbst und das neue Bundesdatenschutzgesetz (BDSG) mit seinen Regelungen für die Wirtschaft.[2]
Die Grundzüge des Datenschutzrechts bleiben aber dieselben: Personenbezogene Daten dürfen in der Regel nur auf Basis einer Rechtsgrundlage oder einer Einwilligung verarbeitet werden. Die für die Verarbeitung verantwortliche Stelle („der Verantwortliche“) muss im Rahmen ihrer Rechenschaftspflicht nachweisen können, dass sie die DSGVO einhält. Auftragsverarbeiter haben erweiterte Pflichten im Gegensatz zum bisherigen Datenschutzrecht.
Für die Verbraucher*innen – als betroffene Personen – ergeben sich zahlreiche Neuerungen, die im Folgenden vorgestellt werden.
2. Neue Anforderungen an eine Einwilligung
Die Anforderungen an eine Einwilligung, die Verbraucher*innen erteilen können, waren schon immer anspruchsvoll. Die Grundlage einer wirksamen Einwilligung ist die freie und informierte Entscheidung der betroffenen Person – so die rechtliche Anforderung. Die DSGVO ändert dies nicht und sattelt sogar noch etwas drauf: z.B. dass immer ein Tätigwerden der betroffenen Person nötig ist und aus Stillschweigen keinesfalls auf die Einwilligung geschlossen werden darf (was der Bundesgerichtshof vor Jahren auf Basis des alten BDSG noch anders entschieden hatte) oder dass auf das Widerspruchsrecht explizit hingewiesen werden muss. Die Schriftform wird für die Einwilligung nicht mehr erforderlich sein. Mehr Klarheit soll es online geben, wenn Kinder oder Jugendliche einwilligen. Unschön, dass sich die Mitgliedstaaten nicht auf eine fixe Altersgrenze einigen konnten. Alles zwischen 13 und – so in Deutschland festgelegt – 16 Jahren kann der Mitgliedstaat als Altersgrenze bestimmen, damit nicht zusätzlich die Eltern ihre datenschutzrechtliche Einwilligung für ihren Sohn oder ihre Tochter abgeben müssen. Voraussetzung ist natürlich ein Altersnachweis, wie dies beispielsweise mit dem elektronischen Personalausweis auch online und ohne überschießende Informationen technisch möglich ist.
Im Folgenden wird für die Einwilligung erläutert, was bleibt und was sich ändert:
2.1 Was bleibt unverändert?
Wie bisher in § 4a Abs. 1 BDSG a.F.[3] geregelt, bedarf die Einwilligung für ihre Wirksamkeit einer freien Entscheidung der betroffenen Person. Dies erfordert auch weiterhin, dass die entsprechenden Erklärungen ohne Druck, Täuschung oder Zwang erfolgen. Der betroffenen Person muss eine echte Wahlmöglichkeit zustehen. Ferner muss sie auf den Zweck der Verarbeitung hingewiesen werden. Dies impliziert für Verantwortliche etwa die Verpflichtung, konkret über die Verfolgung von Werbe- oder Marketingzwecken aufzuklären. Unverändert bleibt auch die Pflicht, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben (§ 4a Abs. 1 Satz 4 BDSG a.F.), Die entsprechenden Anforderungen spiegeln sich in der Definition für die Einwilligung in Art. 4 Nr. 11 DSGVO wider. Demnach ist als Einwilligung zu verstehen jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
2.2 Was ist nun zusätzlich zu beachten?
2.2.1 Keine Schriftform erforderlich
Einwilligungen bedürfen zu ihrer Wirksamkeit nicht mehr der Schriftform. Die DSGVO enthält keine dem § 126 BGB vergleichbare Voraussetzung. Nach Erwägungsgrund (ErwGr) 32 Satz 1 DSGVO sind neben schriftlichen auch elektronische oder mündliche Erklärungen ausreichend. Auch an die elektronischen Erklärungen werden keine besonderen Anforderungen geknüpft, insbesondere wird nicht die Verwendung einer qualifizierten elektronischen Signatur gefordert. Erklärungen in Textform sind wirksam. Insbesondere wird nicht die Verwendung einer qualifizierten elektronischen Signatur gefordert. Erforderlich ist nur, dass bei elektronischen Erklärungen die Aufforderung zur Abgabe einer Einwilligung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgt. Unabhängig von der Wirksamkeit mündlicher und elektronischer Erklärungen bleibt der Verantwortliche nach Art. 5 Abs. 2 DSGVO verpflichtet, die Einhaltung der allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten nachweisen zu können (Rechenschaftspflicht). Von Bedeutung sind hier vor allem die Grundprinzipien einer rechtmäßigen und transparenten Verarbeitung (Art. 5 Abs. 1 a) DSGVO) und der Datenerhebung für festgelegte, eindeutige und legitime Zwecke (Art. 5 Abs. 1 b) DSGVO).
Vor diesem Hintergrund erweist sich die Einholung einer schriftlichen Einwilligung als Vorteil, da der Verantwortliche so die Einhaltung der Anforderungen (Art. 7 und 8 DSGVO) belegen kann. Für elektronische Erklärungen kann der Verantwortliche seinen Pflichten aus Art. 5 Abs. 2 DSGVO u.a. nachkommen, indem er vor allem gewährleistet, dass die betroffene Person ihre Erklärung unter Berücksichtigung der Voraussetzungen nach Art. 7 und 8 DSGVO bewusst und eindeutig abgibt und die Einwilligung protokolliert wird. Bei mündlichen Erklärungen kann zur Erfüllung der Rechenschaftspflicht die Bitte an die betroffene Person um Übersendung einer schriftlichen oder elektronischen Bestätigung der abgegebenen Erklärung ratsam sein.
2.2.2 Verpflichtung auf Opt-in
Einwilligungen können auch in Allgemeinen Geschäftsbedingungen vorformuliert werden. Bisher wurde es dabei als ausreichend betrachtet, dass die betroffene Person eine „Einwilligung“ erklärt, indem sie von der Möglichkeit einer Streichung der Einwilligungsklausel Gebrauch macht oder etwa ein Feld ankreuzt, wonach eine Einwilligung nicht erklärt werde (BGH, Urteil vom 11.11.2009, VIII ZR 12/08). Die Abgabe einer wirksamen Einwilligung muss nach ErwGr 32 DSGVO nun durch eine eindeutige und bestätigende Handlung erfolgen. Stillschweigen, bereits angekreuzte Kästchen oder eine unterstellte Zustimmung, ohne dass die betroffene Person tätig geworden ist, stellen daher keine Einwilligung mehr dar. Erklärungen im Wege eines „Opt-out“ sind nicht mehr zulässig.
2.2.3 Belehrung über ein Widerrufsrecht
Gemäß Art. 7 Abs. 3 DSGVO hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der vorher erfolgten Verarbeitung nicht berührt. Die betroffene Person ist vor der Einwilligung über das Widerrufsrecht und die entsprechende Wirkung eines Widerrufs vom Verantwortlichen in Kenntnis zu setzen. Die bisherigen Einwilligungen nach § 4a BDSG a.F. sind zwar auch widerrufbar. Allerdings fehlte bisher eine entsprechend umfassende Unterrichtungsverpflichtung des Verantwortlichen. Diese Verpflichtung ist ab dem 25. Mai 2018 nun ein zwingender Bestandteil einer jeden Einwilligungserklärung. Jeder betroffenen Person wird damit vor Augen geführt, dass der Bestand ihrer Erklärung von ihrem Willen abhängt.
2.2.4 Anforderungen an die Freiwilligkeit der Einwilligung
Einwilligungen müssen bereits nach § 4a BDSG a.F. auf der freien Entscheidung der betroffenen Person beruhen. Erklärungen, die unter Druck oder Zwang abgegeben werden, sind unwirksam. Nach § 28 Abs. 3b BDSG a.F. darf die verantwortliche Stelle den Abschluss eines Vertrags nicht von einer Einwilligung der betroffenen Person bezüglich der Verarbeitung oder Nutzung personenbezogener Daten für Zwecke des Adresshandels oder der Werbung abhängig machen, wenn der betroffenen Person ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Eine unter solchen Umständen erteilte Einwilligung ist unwirksam. § 28 Abs. 3b BDSG a.F. soll dabei Sachverhalte erfassen, bei denen der Verantwortliche eine marktbeherrschende Stellung hat, dieser etwa die Preise für Waren oder Dienstleistungen bestimmen kann, und folglich kein gleichwertiger Zugang zu vertraglichen Leistungen anderer Anbieter möglich ist.
Das Kriterium der marktbeherrschenden Stellung des Verantwortlichen sowie die Begrenzung auf Fälle der Werbung und des Adresshandels werden mit der neuen Gesetzeslage aufgegeben. Nach Art. 7 Abs. 4 DSGVO muss künftig bei der Beurteilung der Freiwilligkeit der Einwilligung geprüft werden, ob die Erfüllung eines Vertrags, einschließlich die Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung personenbezogener Daten abhängig gemacht wird, die für die Erfüllung des Vertrags nicht erforderlich sind.
Beispiel: Ein Verbraucher kauft Schuhe und möchte diese an seinen Wohnsitz liefern lassen. Hierfür benötigt der Verkäufer die Lieferanschrift. Diese ist zur Erfüllung des Vertrags erforderlich. Der Schuhkauf, einschließlich der Lieferung der Schuhe, dürfen aber vom Verkäufer z.B. nicht davon abhängig gemacht werden, dass der Verbraucher ihm die Schuhgröße seiner Ehefrau offenbart. Das letztere Datum ist zur Erfüllung des Vertrags über den Erwerb der Schuhe nicht erforderlich. Der Verbraucher wird davor geschützt, personenbezogene Angaben zu übermitteln, die für die Abwicklung einer vertraglichen Leistung nicht erforderlich sind.
2.2.5 Bedingungen bei Einwilligungen von Kindern
Richten sich Dienste der Informationsgesellschaft (Art. 4 Nr. 25 DSGVO) direkt an Kinder, so ist die auf einer Einwilligung basierende Verarbeitung personenbezogener Daten des Kindes rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat. Anderenfalls ist die Zustimmung eines Elternteils[4] maßgebend (Art. 8 Abs. 1 DSGVO). Dienste der Informationsgesellschaft sind regelmäßig gegen Entgelt, in elektronischer Form, im Wege des Fernabsatzes erbrachte Dienstleistungen. Es müssen Geräte zum Einsatz kommen, die eine Speicherung der Daten vornehmen, und das Kind muss die Dienstleistung gezielt abrufen können. Sprachtelefonie und die bloße Nutzung eines Fernsehangebots zählen nicht hierzu. Im Kern sind solche Dienste erfasst, die im Internet auf Webseiten für Kinder angeboten werden. Hierbei wird neben dem Inhalt auch die grafische und sprachliche Gestaltung des Angebots den Ausschlag dafür geben, ob sich der Dienst direkt an Kinder richtet. Verbraucher*innen, die das sechzehnte Lebensjahr noch nicht vollendet haben, sollen generell aufgrund fehlender Einsicht und Reife davor bewahrt bleiben, wirksame Einwilligungserklärungen im Internet abzugeben.
Die DSGVO – die wichtigsten Neuerungen aus Sicht der Verbraucher*innen
zurück: vorgänge 221/222 | Eintrags-ID: 9512

References: § 4
 Art. 4
 § 126
 Art. 5
 Art. 5
 Art. 7
 Art. 7
 § 4
 § 4
 § 28
 § 28
 Art. 7