Source: https://mydatenschutz.blogspot.com/2019/03/einwilligung-nach-eu-dsgvo.html
Timestamp: 2019-08-25 04:41:07+00:00

Document:
Mein Datenschutz-Blog: Einwilligung nach EU-DSGVO - Kurzpapier Nr. 20 der DSK veröffentlicht
Durch passives Verhalten z.B. durch Stillschweigen, vorausgefüllte Kästchen oder Untätigkeit wird keine datenschutzkonforme Einwilligungserklärung abgegeben (vgl. hierzu Erwägungsgrund 32), eine Verarbeitung von personenbezogenen Daten ist in diesem Fall nicht zulässig und kann durch die Aufsichtsbehörde mit einem Bußgeld verhängt werden.
Praxistipp: Aus Gründen der Nachweispflicht empfiehlt es sich, auf die mündliche Einwilligung zu verzichten und die elektronische oder schriftliche Form heranzuziehen.
Der betroffenen Person muss das Recht eingeräumt werden, die Einwilligung freiwillig abzugeben d.h. eine echte und freie Wahl muss in der Form bestehen, dass die Einwilligung verweigert und zurückgezogen werden kann, ohne dass der Betroffene hierdurch Nachteile erleidet.
In diesem Fall ist das Kopplungsverbot (Art. 7 Abs. 4 i.V.m. Erwägungsgrund 43) zu beachten. So darf die Erfüllung eines Vertrages nicht von einer Einwilligung in eine Datenverarbeitung abhängig gemacht werden, wenn diese für die Erfüllung des Vertrages nicht erforderlich ist.
Die Freiwilligkeit wird insbesondere dann für unwahrscheinlich angesehen, wenn zwischen dem Betroffenen und dem Verantwortlichen ein klares Ungleichgewicht besteht (vgl. Erwägungsgrund 43).
Informierte Weise
Darüber hinaus muss der Verantwortliche eine vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung stellen und sollte keine missbräuchlichen Klauseln verwenden.
Dem Betroffenen muss dargelegt werden, wer der Verantwortliche ist und für welchen Zweck die personenbezogenen Daten verarbeitet werden sollen. Hinzu kommen nachfolgende Angaben über:
das Recht, die Einwilligung jederzeit zu widerrufen
ggf. über die Verwendung der Daten für eine automatisierte Entscheidungsfindung
ggf. mögliche Risiken von Datenübermittlung in Drittländer
Nach Art. 7 Abs. 3 EU-DSGVO hat die betroffene Person das Recht, die Einwilligung jederzeit zu widerrufen. Dies betrifft alle zukünftigen Verarbeitungsvorgänge, alles vergangene bleibt rechtmäßig. Auf das Recht die Einwilligung zu widerrufen muss der Betroffene bereits vor Abgabe der Einwilligung hingewiesen werden. Auch sollte beachtet werden, dass die Möglichkeit des Widerrufes so einfach gestaltet ist wie dessen Erteilung.
Folgen der unwirksamen Einwilligung
Erfüllt die Einwilligung die gesetzlichen Anforderungen nicht, so ist diese unwirksam und dient nicht als Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten. In diesem Fall ist es nicht gestattet eine andere Rechtsgrundlage heranzuziehen, denn die Grundsätze der Fairness und Transparenz (gem. Art. 5 Abs. 1 lit. a EU-DSGVO) müssen gewahrt werden.
Beispiel: Die Einwilligung von Herrn Maier für die Verarbeitung seiner personenbezogenen Daten beim Verantwortlichen Unternehmen Mix-Muster ist nicht datenschutzkonform, da Mix-Muster keinen ausreichenden Hinweis auf das Widerrufsrecht hatte und auch die Möglichkeit des Widerrufes nicht bestand. Während des Streitfalls stellt sich heraus, dass eine Einwilligung nicht notwendig gewesen wäre, da die Verarbeitung nach Art. 6 Abs. 1 lit. f EU-DSGVO zur Wahrung der berechtigten Interessen von Mix-Muster erforderlich war. In der Folge verliert das Unternehmen Mix-Muster die Rechtsgrundlage zur Verarbeitung der personenbezogenen Daten von Herrn Maier.
Die Höhe der Geldbuße richtet sich nach Art. 83 Abs. 5 lit. a EU-DSGVO und beträgt bis zu 20 Mio. € oder 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag der höhere ist.
Ausnahmen: Besondere Kategorien von Daten und Kinder
Bei besonderen Kategorien von personenbezogenen Daten wie u.a. Gesundheitsdaten, genetische und biometrische Daten ist gem. Art. 9 Abs. 2 EU-DSGVO eine ausdrückliche Einwilligung erforderlich. Auch im Bereich des Beschäftigtendatenschutzes sieht das BDSG-neu in § 26 Abs. 2 S. 3 die Schriftformerfordernis (vgl. hierzu das Kurzpapier Nr. 14 der DSK).
Der Verantwortliche benötigt für die Verarbeitung personenbezogenen Daten von Kindern die das sechzehnte Lebensjahr noch nicht vollendet haben, die Einwilligung oder Zustimmung durch den Sorgeberechtigten.
Alle weiteren Details können Sie direkt dem Kurzpapier Nr. 20 entnehmen.
Gerne unterstützen wir Sie bei der Erstellung von Einwilligungen und Helfen Ihnen, den Informationspflichten nachzukommen.

References: Art. 7
 Art. 5
 Art. 6
 Art. 83
 Art. 9
 § 26