Source: https://ensecur.de/datenschutzlexikon/datenschutzkonforme-einwilligung-gemaess-ds-gvo/
Timestamp: 2020-07-05 17:12:40+00:00

Document:
Datenschutzkonforme Einverständniserklärung gemäß DS-GVO | ENSECUR
Die Verarbeitung von personenbezogenen Daten ist grundsätzlich verboten, es sei denn es ist eine Rechtsgrundlage einschlägig, die die Datenverarbeitung erlaubt (sog. Verbot mit Erlaubnisvorbehalt). Wann eine Datenverarbeitung rechtmäßig ist, richtet sich in der Datenschutz-Grundverordnung (DS-GVO) nach den Rechtsgrundlagen des Art. 6 I. Eine dieser möglichen Rechtsgrundlagen stellt die Einwilligung dar.
Diese ist in Art. 4 Nr. 11 DS-GVO wie folgt definiert: „Jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“ Kurz: Die Einwilligung ist die ausdrückliche Zustimmung einer Person, dass ihre personenbezogenen Daten verarbeitet werden dürfen.
Voraussetzung einer wirksamen Einwilligung
Zur Wirksamkeit sind folgende Voraussetzungen zu erfüllen:
Sie muss auf einer freiwilligen Entscheidung beruhen. Das heißt der Betroffene muss eine echte Wahl haben, ohne durch die Entscheidung Nachteile zu erleiden (Erwägungsgrund 42 DS-GVO, sog. Kopplungsverbot). Das heißt zum Beispiel darf die Nutzung einer Webseite nicht davon abhängig gemacht werden, ob der Betroffene in das Setzen von Tracking Cookies einwilligt oder nicht.
Für den bestimmten Fall:
Der Betroffene muss eindeutig erkennen können, für welchen Zweck oder welche Zwecke die Einwilligung eingeholt werden soll. Es ist daher die Aufgabe des Verantwortlichen, eindeutig festzulegen, für welche Datenverarbeitungen sie genutzt wird. Pauschale Einwilligungen, bei denen der Betroffene den Zweck der Datenverarbeitung nicht klar erkennen kann, sind damit ungültig.
In informierter Weise:
Der Betroffene muss vor der Einwilligung in die Lage versetzt werden zu wissen, für was er sie erteilt, welche seiner Daten aufgrund der Einwilligung durch wen verarbeitet werden und welche Tragweite seine Entscheidung hat. Nur wenn der Betroffene den Umfang der Datenverarbeitung überblicken kann, kann er eine informierte Entscheidung treffen. Zudem ist der Betroffene über sein Widerrufsrecht zu informieren.
Unmissverständlichkeit:
Die Einwilligung in die Datenverarbeitung muss durch eine ausdrückliche und eindeutige Willensbekundung erfolgen.
Eine festgeschriebene Form gibt es nicht. Die Einwilligung kann schriftlich, elektronisch oder mündlich erteilt werden. Jedoch ist der Verantwortliche gemäß Art. 5 II DS-GVO für die Einhaltung der Grundsätze der Datenverarbeitung rechenschaftspflichtig und speziell gemäß Art. 7 I DS-GVO in der Pflicht, diese nachweisen zu können. Deshalb ist das Einholen einer schriftlichen oder einer elektronischen Einwilligung empfehlenswert.
Der Betroffene hat gemäß Art. 7 III DS-GVO das Recht, seine Einwilligung jederzeit zu widerrufen. Der Widerruf muss dabei genauso einfach wie die Einwilligung erteilt werden können und darf keine nachteiligen Folgen nach sich ziehen. Mit dem Widerruf entfällt die Rechtsgrundlage der Datenverarbeitung, was zur Folge hat, dass alle aufgrund der Einwilligung erhobenen Daten zu löschen sind.
Die Einwilligung ist als Auffangtatbestand für eine rechtmäßige Datenverarbeitung zu verstehen. Immer dann, wenn eine Datenverarbeitung verboten ist, also nicht auf einer der anderen fünf Rechtsgrundlagen des Art. 6 I DS-GVO gestützt werden kann, dann kann nur noch die Einwilligung als Legitimationsgrundlage helfen. Diese ermöglicht dann dennoch eine Datenverarbeitung, da der Betroffene die Verarbeitung seiner personenbezogenen Daten ausdrücklich erlaubt.
Kurzpapier Nr. 20 der Datenschutzkonferenz zur Einwilligung

References: Art. 6
 Art. 4
 Art. 5
 Art. 7
 Art. 7
 Art. 6