Source: https://www.dr-datenschutz.de/grundverordnung-anforderungen-an-eine-einwilligung/
Timestamp: 2020-07-11 15:01:42+00:00

Document:
18. März 2016 |	14 Kommentare | Von Dr. Datenschutz
In unserer Artikelreihe zur EU-Datenschutz-Grundverordnung (DSGVO) geht es diesmal um die Einwilligung des Betroffenen in die Erhebung, Verarbeitung und Nutzung seiner personenbezogenen Daten. Es werden nach einer kurzen Einführung die wichtigsten aktuell geltenden Voraussetzungen an eine rechtsgültige Einwilligung aufgezeigt, verbunden mit der Frage, ob sich an diesen ab 2018 durch die Einführung der DSGVO etwas ändern wird.
Einführung: Datenschutz ist Grundrechtsschutz
Die Einwilligung des Betroffenen in die Verarbeitung seiner personenbezogenen Daten ist ein zentraler Bestandteil des Datenschutzrechts. Datenschutz bedeutet Grundrechtsschutz. Es geht darum, dass der Einzelne ein Recht auf Datenschutz, Privatsphäre und informationelle Selbstbestimmung hat. Hinter letzterem Begriff verbirgt sich nichts anderes als das Recht eines jeden Bürgers, selbst zu bestimmen, wer welche Informationen über ihn erhält. Garantiert werden dieses Rechte sowohl durch das Grundgesetz (Art. 2 Abs. 1, Art.1 Abs. 1 GG), als auch durch die Grundrechtscharta der Europäischen Union, die in Artikel 8 sogar ausdrücklich die personenbezogenen Daten des Einzelnen schützt. Durch die Einwilligung wird die betroffene Person in die Lage versetzt, über sein Persönlichkeitsrecht zu verfügen und persönliche Informationen über sich selbst preiszugeben oder eben nicht.
Grundrechte sind in erster Linie Abwehrrechte gegen den Staat, die aber die Möglichkeit bieten, diese Abwehrrechte durch sog. einfachgesetzlichen Regelungen auszugestalten. Solch ein Gesetze ist z.B. das Bundesdatenschutzgesetz (BDSG). Die 2018 in Kraft tretende Datenschutz-Grundverordnung ist dagegen höherrangiges Recht und legt direkt anwendbar im Detail fest, wie die von ihr betroffenen Persönlichkeitsrechte konkret ausgestaltet sind und wem gegenüber sie gelten sollen. Letzteres ist auch für den Datenschutz wichtig, da ein Recht auf Privatsphäre nicht nur gegenüber dem Staat gilt, sondern auch gegenüber nicht-öffentlichen Stellen wie etwa Unternehmen aus der Wirtschaft.
Im Datenschutzrecht gilt das sog. Verbot mit Erlaubnisvorbehalt, die Datenverarbeitung ist also generell verboten, so lange sie nicht durch ein Gesetz ausdrücklich erlaubt ist oder der Betroffene in die Verarbeitung eingewilligt hat. Dieser Grundsatz bleibt komplett erhalten, auch die EU-Datenschutz-Grundverordnung hält an dem Verbot mit Erlaubnisvorbehalt fest.
Bezogen auf die Einwilligung heißt es dazu in Artikel 6 Nr.1a DSGVO:
„1. Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere festgelegte Zwecke gegeben;“
Was sind die Anforderungen an eine rechtsgültige Einwilligung?
Um sicherzustellen, dass der Betroffene in der Ausübung seines Persönlichkeitsrechts nicht eingeschränkt wird, muss die Einwilligung in die Datenverarbeitung gewisse Voraussetzungen erfüllen. Bisher wurden diese Anforderungen an die Einwilligung im Wesentlichen durch § 4a BDSG und für den Bereich der elektronischen Medien zusätzlich durch § 13 Abs. 2 Telemediengesetz (TMG) geregelt. Die Datenschutz-Grundverordnung beschreibt dagegen in Art. 7 DSGVO die „Bedingungen für die Einwilligung“. Darüber hinaus enthält die EU-Datenschutz-Grundverordnung zahlreiche Erwägungsgründe, mit denen Ziele und Zwecke der eigentlichen Regelungen erläutert werden, um die Regelungen selbst entsprechend auslegen zu können. Die wichtigsten Anforderungen an eine rechtsgültige Einwilligung sind bisher regelmäßig:
Die freie Entscheidung des Betroffenen:
Die Abgabe der Einwilligungserklärung des Betroffenen muss absolut freiwillig erfolgen. Der Betroffene muss also in der Lage sein, eine echte Wahl zu treffen, d.h. er darf im Zuge der Einholung der Einwilligung nicht vor vollendete Tatsachen gestellt werden oder sonst in seiner Entscheidungskraft eingeschränkt werden.
Ausführliche, erkennbare und bestimmte Information des Betroffenen:
Der Betroffene muss vor Abgabe der Einwilligungserklärung über den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten im Einzelnen informiert werden. Dabei müssen alle weitere für den konkreten Fall entscheidungsrelevanten Informationen enthalten sein und diese müssen darüber hinaus auch hinreichend bestimmt sein, der Zweck der Verarbeitung darf also nicht zu allgemein gehalten werden. Der betroffene muss außerdem in der Lage sein, die Informationen leicht zu erkennen und auch als Einwilligung zu identifizieren.
Grundsätzlich muss laut § 4a Abs. 1 BDSG die Einwilligung in Schriftform erfolgen, nur in speziellen Ausnahmefällen darf davon abgewichen werden. Die Möglichkeit der einfachen elektronischen Einwilligung im Bereich Internet und E-Mail wird derzeit nur durch das Telemediengesetz (§ 13 Abs. 2 TMG) geschaffen, welches in diesen speziellen Fällen zur Anwendung kommt.
Widerruflichkeit der Einwilligungserklärung:
Es muss sichergestellt sein, dass der Betroffene seine Einwilligung jederzeit widerrufen kann, damit er weiterhin über sein Persönlichkeitsrecht verfügen kann.
Bleibt es bei der Freiwilligkeit?
Ja. Auch die Datenschutz-Grundverordnung setzt die Freiwilligkeit der Einwilligung als Wirksamkeitserfordernis voraus. Art. 7 Nr. 4 DSGVO stellt insofern klar, dass die Einwilligung ohne Zwang erfolgen muss. Darüber hinaus werden in Erwägungsgrund 32 und 34 noch Ausführungen dazu gemacht, wann eine Einwilligung als freiwillig anzusehen ist und wann dies nicht der Fall ist. Die Datenschutz-Grundverordnung wird in diesem Zusammenhang in Art. 7 Nr. 4 DSGVO besonders deutlich, was das sog. „Kopplungsverbot“ betrifft. Dieses besagt in dem Fall, dass der Abschluss eines Vertrages nicht von der Verarbeitung weiterer Daten abhängig gemacht werden darf, die für die eigentliche Vertragsdurchführung gar nicht benötigt werden.
Ändert sich etwas an der Informationspflicht?
Auch hier bleibt alles beim Alten. Art. 6 Nr. 1 a DSGVO besagt, dass die Datenverarbeitung nur rechtmäßig ist, wenn der Betroffene die Einwilligung für einen oder mehrere bestimmte Zwecke abgegeben hat. Es bleibt also dabei, dass die Einwilligung jeweils an einen bestimmten Zweck gebunden sein soll, der auch hinreichend bestimmt erläutert werden muss. Auch in Erwägungsgrund 25 wird darauf hingewiesen, dass sich eine Einwilligung nur auf die jeweils angegeben Verarbeitungszwecke bezieht und für sämtliche Verarbeitungszwecke eine Einwilligung abgegeben werden soll. Im Bereich Erkennbarkeit der Einwilligung für den Betroffenen gibt Art. 7 Nr. 2 DSGVO ähnlich wie das BDSG Vorgaben zur Erkennbarkeit, vor allem wenn die Einwilligung zusammen mit anderen Erklärungen abgegeben werden soll. In diesem Fall muss die Einwilligung deutlich hervorgeheben werden. Im Falle der Verarbeitung von besonders sensiblen Arten von personenbezogenen Daten, muss sich die Einwilligung ausdrücklich auf diese beziehen, Art. 9 Nr. 2 a) DSGVO.
In welcher Form muss die Einwilligung abgegeben werden?
Nach wie vor kann dies auf schriftlichem oder im Bereich der elektronischen Medien auf elektronischem Wege geschehen. Dogmatisch gesehen wird die einfache elektronische Einwilligung nun aber direkt durch die Datenschutz-Grundverordnung möglich, da diese nicht mehr wie das BDSG von einem grundsätzlichen Schriftformerfordernis ausgeht. Die DSGVO verlangt durch Art. 7 Nr. 1 DSGVO nur noch die Nachweisbarkeit der Einwilligung durch die verantwortliche Stelle. Eine konkrete Formvorschrift wird nicht genannt. In Erwägungsgrund 32 zur Datenschutz-Grundverordnung wird außerdem klargestellt, dass die Einwilligung nur durch eine eindeutige Handlung zustande kommen soll, die auch in elektronischer Form erfolgen kann. Damit ist regelmäßig eine aktive Handlung des Nutzers durch Opt-In (z.B. Setzen eines Häkchens) notwendig, andere Varianten wie eine stillschweigende Zustimmung oder Opt-Out (z.B. Entfernen eines Häkchens) sind dagegen nicht mehr möglich.
Muss es weiterhin die Möglichkeit zum Widerruf geben?
Auch hier ist keine Änderung in Sicht. Die Datenschutz-Grundverordnung bestimmt in Art. 7 Nr. 3 DSGVO dass der Betroffene ein Recht zum Widerruf seiner Einwilligung hat, er vor Abgabe der Einwilligung über sein Widerrufsrecht aufgeklärt werden muss und der Widerruf der Einwilligung genauso leicht möglich sein muss, wie die Abgabe selbst.
Gibt es überhaupt grundlegende Neuerungen?
Eine Neuerung bietet die EU-Datenschutz-Grundverordnung im Bereich der Einwilligung von Minderjährigen unter 16 Jahren (bzw. unter 13 Jahren wenn das nationale Recht dies vorsieht). Diese sollen generell nur wirksam sein, wenn und insoweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird, Art. 8 Nr. 1 DSGVO.
Die grundsätzlichen Anforderungen an die Wirksamkeit einer rechtsgültigen Einwilligung werden durch die DSGVO nicht verändert und der Schutz von Minderjährigen wird zusätzlich gestärkt. Durch die Einwilligung lässt sich neben bestehenden Gesetzen eine zusätzliche Rechtsgrundlage für die Datennutzung schaffen, die in ihren Möglichkeiten sehr weitgehend sein kann. Es ist gerade deswegen wichtig, dass eine Einwilligung nur dann möglich ist und weiterhin möglich sein wird, wenn die Betroffenen durch die Einhaltung der oben genannten Grundsätze in die Lage versetzt werden, aufgeklärt und frei über ihr Persönlichkeitsrecht zu verfügen.
Mehr zum Thema: Datenschutz-Grundverordnung, Einwilligung, EU-DSGVO
„Muss es weiterhin die Möglichkeit zum Widerruf geben?“
Nach geltendem Richt muss bei Offline-Einwilligungen nicht auf das Widerrufsrecht hingewiesen werden, nur nach dem TMG. Insofern ergibt sich ene Änderung
Datenschützer am 17. Mai 2016, 12:55 Uhr
Wann bzw. für wen gilt die DSGVO?
Alf am 24. Oktober 2016, 03:36 Uhr
Dr. Datenschutz am 24. Oktober 2016, 10:32 Uhr
Wie sehen Sie das Verhältnis zum berechtigten Interesse und der Einwilligung? Wann spielt eine Einwilligung überhaupt noch eine Rolle? Können Sie Beispiele nennen? Vielen Dank!
dsb am 13. März 2017, 10:19 Uhr
Formal rechtlich ist das berechtigte Interesse und die Einwilligung gleich geordnet. Jedes für sich reicht aus, dass eine Verarbeitung rechtmäßig ist (siehe Art. 6 DSGVO). Ein praktisch relevantes Potential des berechtigten Interesses liegt wohl darin, dass Verarbeitungen, für die nur sehr schwer eine Einwilligung eingeholt werden kann, dennoch durch ein berechtigtes Interesse legitimiert werden können. Bsp.: Im Konzern Übermittlung von gewissen Personaldaten von den Töchtern zur Muttergesellschaft. Gleichwohl wird die Einwilligung ihre Daseinsberechtigung behalten. Bsp.: Verknüpfung des Surfverhaltens mit personenbezogenen Kontodaten eines Nutzer-Accounts. Hier ist kaum vorstellbar, dass die Grundrechte der Betroffenen das berechtigte Interesse nicht überwiegen. Allerdings könnten sich für diesen Fall – dies bleibt abzuwarten – Besonderheiten aus der geplanten E-Privacy-Verordnung ergeben.
Dr. Datenschutz am 13. März 2017, 16:52 Uhr
Was passiert denn mit den bestehenden Einwilligungen? Müssen diese erneut eingeholt werden oder genügt eine Information über die Änderung der Datenschutzerklärung?
Datenschützer am 5. April 2018, 10:01 Uhr
Zur Fortgeltung bestehender Einwilligungen haben sich die Aufsichtsbehörden bereits in einem Beschluss geäußert: https://www.lda.bayern.de/media/dk_einwilligung.pdf.
Außerdem finden Sie Informationen zur Fortgeltung der Einwilligung im Informationspapier der Bayrischen Aufsichtsbehörde: https://www.lda.bayern.de/media/baylda_ds-gvo_9_consent.pdf.
Dr. Datenschutz am 5. April 2018, 13:29 Uhr
im Internet habe ich mich bereits zum Thema
EU-Datenschutz-Grundverordnung: schlau gemacht. Ich fand allerdings nur den Grund warum die Verordnung eingeführt wird. Allerdings nicht was ich konkret als kleiner e.V. Verein mit 50 Mitgliedern umsetzen muß.
Gilt das für uns „Mini juristische Personen“ in gleichem Maße ? Da könnte man ja dann seinen Job kündigen und nur noch Daten schützen.
comodororivadavia am 19. April 2018, 22:13 Uhr
Bitte beachten Sie die Handreichungen für kleine Unternehmen und Vereine des BayLDA:
Dr. Datenschutz am 20. April 2018, 09:31 Uhr
ich habe mich auch schon ausführlich mit der DSGVO habe aber noch folgende Frage:
Ich muss dem Kunden sagen was ich mit seinen Daten mache wenn er mir eine Anfrage über unsere Seite sendet. Sendet er mir eine Anfrage über das Anfrageformular kann ich einen „Haken“ einfügen den der Kunde anhaken muss damit er die Verarbeitung seiner Daten gelesen hat. Sollte der Kunde die Mailadresse aus dem Impressum kopieren umgeht er diesen Schritt mit der Bestätigung zur Verarbeitung seiner Daten.
Wie kann man dieses Problem in der Praxis beheben?
Hubi am 8. Mai 2018, 22:28 Uhr
Es dürfte auch im Rahmen des Kontaktformulars ausreichend sein, unter dem Kontaktformular eine datenschutzrechtliche Belehrung (Beispiel: „Wir verwenden Ihre über das Kontaktformular erhobenen personenbezogenen Daten nur zum Zwecke der Bearbeitung Ihres Anliegens.“) und einen Link zur Datenschutzerklärung ohne Checkbox einzufügen.
Nutzt der Kunde eine E-Mail-Adresse aus Ihrem Impressum, sollte von der Impressumsseite (wie am besten von jeder Ihrer Unterseiten) ein schnell auffindbarer Link zur Datenschutzerklärung führen. Dort muss erklärt sein, wie der Umgang mit Daten im Rahmen von Anfragen bei Ihnen aussieht.
Dr. Datenschutz am 22. Mai 2018, 18:48 Uhr
unsere Newsletter-Datenbank wurde gemäß §7 Abs. 3 UWG rechtmäßig erstellt (ausschließlich E-Mail-Adressen, die uns unsere Kunden gegeben haben; ausschließlich unsere Produkte; Abmeldung jederzeit möglich). Eine gesonderte Einwilligung liegt nicht vor. Gilt das nach wie vor oder verlangt das DSGVO jetzt eine Einwilligungserklärung unserer Kunden? Wo finde ich den relevanten Absatz im DSGVO? Vielen Dank für eine Antwort!
eh am 9. Mai 2018, 10:46 Uhr
Die Regelung des § 7 UWG wird durch die Anwendbarkeit der DSGVO nicht verdrängt. Sofern also Ihre Datenbank wie beschrieben unter den Voraussetzungen des § 7 Abs. 3 UWG aufgebaut wurde, können Sie diese weiter wie gewohnt nutzen und benötigen keine neuerliche Einwilligung.
Dr. Datenschutz am 9. Mai 2018, 12:52 Uhr
Hallo, aus aktuellem Anlass stellt sich mir die Frage, was mit der Einwilligungserklärung passiert, wenn es eigentlich eine gesetzliche Grundlage zur Erhebung und Verarbeitung personenbezogener Daten gibt.
Um kurz etwas weiter auszuholen: Aufgrund der Corona-Pandemie werden einem ständig Blätter unter die Nase gehalten, die man mit seinen personenbezogenen Daten ausfüllen und damit bestätigen soll, dass man z.B. die Hygienevorschriften einer Einrichtung gelesen und verstanden hat und das man mit keinem Infizierten in Kontakt war bzw. selbst keine Symptome aufweist. Im Falle eines Falles werden die Daten an das zuständige Gesundheitsamt weitergeleitet. Die Erfassung und ggf. die Weiterleitung der Daten sind per Verordnung vorgeschrieben. Es gibt also eine gesetzliche Grundlage dafür, weshalb lediglich eine Informationspflicht besteht, aber meines Erachtens nach sich die Einwilligung erübrigt. Trotzdem findet sich unter den meisten dieser Blätter ein Ankreuzfeld, mittels dessen man sich mit der Erfassung und Verarbeitung der Daten einverstanden erklärt. Dies widerspricht jedoch in jeglicher Form der Einwilligung im Sinne der DSGVO. Hier ist weder die Freiwilligkeit gegeben noch ist die Einwilligung wiederrufbar.
Zu meiner Frage: Wenn es also dieses Ankreuzfeld trotz einer gesetzlichen Grundlage gibt, was passiert dann mit der Einwilligung? Kann ich diese doch zurückziehen, weil nach DSGVO die Einwilligung zurückgezogen werden kann? Wenn ich die Einwilligung nicht gebe, darf mir theoretisch kein Nachteil entstehen und freiwillig muss sie an sich auch sein, doch ist mir schon mehrfach untergekommen, dass man mir gesagt hat, dass ich diese Feld ankreuzen „muss“. Womit die Freiwilligkeit nicht gegeben ist. Inwiefern beißen sich die gesetzliche Vorschrift und die verlangte Einwilligung? Könnte es der jeweiligen Einrichtung ggf. zum Nachteil werden, wenn sie eine Einwilligung fordern, trotzdem es eine gesetzliche Grundlage gibt? Wie sieht es rechtlich aus?
JS am 29. Juni 2020, 10:10 Uhr

References: Art.1
 § 4
 § 13
 Art. 7
 § 4
 Art. 7
 Art. 7
 Art. 6
 Art. 7
 Art. 9
 Art. 7
 Art. 7
 Art. 8
 Art. 6
 §7
 § 7
 § 7