Einwilligung

Die Einwilligung ist eine der gesetzlichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten nach der Datenschutz-Grundverordnung (DS-GVO). Sie ermöglicht es betroffenen Personen, selbst darüber zu entscheiden, ob ihre personenbezogenen Daten für bestimmte Zwecke verarbeitet werden dürfen. Damit eine Einwilligung wirksam ist, muss sie freiwillig, informiert, für einen bestimmten Zweck und durch eine eindeutige bestätigende Handlung erfolgen. Die rechtlichen Grundlagen ergeben sich insbesondere aus Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DS-GVO.

Welche Voraussetzungen muss eine wirksame Einwilligung erfüllen?

Nach Art. 4 Nr. 11 DS-GVO ist eine Einwilligung eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person.

Damit eine Einwilligung wirksam ist, müssen insbesondere folgende Voraussetzungen erfüllt sein:

• Freiwilligkeit: Die betroffene Person muss eine echte Wahl haben und die Einwilligung ohne unangemessenen Druck oder erhebliche Nachteile verweigern können.
• Bestimmtheit: Die Einwilligung muss sich auf einen oder mehrere eindeutig festgelegte Verarbeitungszwecke beziehen. Pauschale Erklärungen für unbestimmte zukünftige Verarbeitungen reichen grundsätzlich nicht aus.
• Informiertheit: Die betroffene Person muss vor Abgabe der Einwilligung verständlich über die wesentlichen Umstände der Datenverarbeitung informiert werden.
• Eindeutige Willensbekundung: Die Zustimmung muss durch eine Erklärung oder eine sonstige eindeutig bestätigende Handlung erfolgen. Schweigen, Untätigkeit oder bereits angekreuzte Kästchen stellen keine wirksame Einwilligung dar.
• Widerruflichkeit: Die betroffene Person muss ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können.

Werden personenbezogene Daten für mehrere unterschiedliche Zwecke verarbeitet, muss eine entsprechend differenzierte Entscheidung möglich sein.

Die Einwilligung muss außerdem klar von anderen Erklärungen unterscheidbar sein, wenn sie gemeinsam mit weiteren Sachverhalten abgefragt wird. Nach Art. 7 Abs. 2 DS-GVO ist sie in verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache darzustellen.

Für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DS-GVO gelten zusätzliche Anforderungen. Soweit die Verarbeitung auf eine Einwilligung gestützt wird, muss diese nach Art. 9 Abs. 2 lit. a DS-GVO grundsätzlich ausdrücklich erfolgen.

Wann ist eine Einwilligung erforderlich und was bedeutet das Kopplungsverbot?

Eine Einwilligung ist nicht für jede Verarbeitung personenbezogener Daten erforderlich. Art. 6 Abs. 1 DS-GVO enthält mehrere mögliche Rechtsgrundlagen.

Personenbezogene Daten dürfen beispielsweise auch verarbeitet werden, wenn dies zur Erfüllung eines Vertrags, zur Einhaltung einer rechtlichen Verpflichtung oder unter den gesetzlichen Voraussetzungen zur Wahrung berechtigter Interessen erforderlich ist.

Eine Einwilligung kommt insbesondere dann in Betracht, wenn keine andere geeignete Rechtsgrundlage für die beabsichtigte Verarbeitung vorliegt oder die Verarbeitung bewusst von der freien Entscheidung der betroffenen Person abhängig gemacht werden soll.

Typische Anwendungsbereiche sind beispielsweise die freiwillige Anmeldung zu einem werblichen Newsletter oder bestimmte einwilligungsbedürftige Tracking- und Marketingmaßnahmen.

Besondere Bedeutung hat das sogenannte **Kopplungsverbot**. Nach Art. 7 Abs. 4 DS-GVO muss bei der Beurteilung der Freiwilligkeit insbesondere berücksichtigt werden, ob die Erfüllung eines Vertrags von einer Einwilligung in eine Datenverarbeitung abhängig gemacht wird, die für die Vertragserfüllung nicht erforderlich ist.

Ein Unternehmen darf daher eine freiwillige Einwilligung nicht ohne Weiteres zur Voraussetzung für eine Leistung machen, wenn die betreffende Datenverarbeitung für diese Leistung nicht benötigt wird.

Allerdings führt nicht jede Verknüpfung einer Einwilligung mit einer Leistung automatisch zur Unwirksamkeit. Entscheidend sind die konkreten Umstände und die Frage, ob tatsächlich eine freie Entscheidung möglich ist.

Für das Speichern von Informationen auf Endgeräten oder den Zugriff darauf gelten daneben die besonderen Anforderungen des § 25 TDDDG. Soweit eine Einwilligung erforderlich ist, richtet sich deren Wirksamkeit nach den Maßstäben der DS-GVO.

Wie muss eine Einwilligung eingeholt und dokumentiert werden?

Eine Einwilligung kann grundsätzlich schriftlich, elektronisch oder durch eine andere eindeutig bestätigende Handlung erteilt werden. Eine bestimmte Form ist nach der DS-GVO nicht generell vorgeschrieben.

Entscheidend ist, dass die Einwilligung die gesetzlichen Anforderungen erfüllt und der Verantwortliche ihre Erteilung nachweisen kann.

Nach Art. 7 Abs. 1 DS-GVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

Für eine nachvollziehbare Dokumentation kommen insbesondere folgende Angaben in Betracht:

• Identität beziehungsweise eindeutige Zuordnung der einwilligenden Person,
• Zeitpunkt und Art der Einwilligungserteilung,
• konkrete Zwecke der Datenverarbeitung,
• Inhalt der zum Zeitpunkt der Einwilligung bereitgestellten Informationen,
• verwendete Einwilligungserklärung beziehungsweise deren maßgebliche Fassung.

Bei elektronischen Einwilligungen können geeignete technische Verfahren eingesetzt werden, um die Erteilung nachvollziehbar zu dokumentieren.

Für Newsletter-Anmeldungen wird beispielsweise häufig das Double-Opt-in-Verfahren verwendet. Dabei erhält die betroffene Person nach der Anmeldung eine Bestätigungsnachricht, über die sie ihre Anmeldung ausdrücklich bestätigt.

Das Double-Opt-in-Verfahren ist jedoch keine allgemeine gesetzliche Pflicht für jede datenschutzrechtliche Einwilligung. Es kann insbesondere dazu beitragen, die Zuordnung und Erteilung einer elektronischen Einwilligung nachzuweisen.

Unternehmen müssen außerdem sicherstellen, dass die Informationen verständlich bereitgestellt werden und die Einwilligung nicht durch irreführende Gestaltung oder vorausgewählte Optionen erschlichen wird.

Wie kann eine Einwilligung widerrufen werden und welche Folgen hat der Widerruf?

Nach Art. 7 Abs. 3 DS-GVO können betroffene Personen ihre Einwilligung jederzeit widerrufen.

Der Widerruf muss so einfach möglich sein wie die Erteilung der Einwilligung. Unternehmen dürfen den Widerruf daher nicht durch unnötige Hürden erschweren.

Wurde eine Einwilligung beispielsweise über eine leicht zugängliche Online-Funktion erteilt, muss auch für den Widerruf ein entsprechend einfacher Weg zur Verfügung stehen.

Der Widerruf wirkt grundsätzlich für die Zukunft. Die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf auf Grundlage einer wirksamen Einwilligung erfolgt ist, bleibt davon unberührt.

Nach einem wirksamen Widerruf darf die betreffende Datenverarbeitung nicht mehr auf die widerrufene Einwilligung gestützt werden. Besteht keine andere einschlägige Rechtsgrundlage, muss die Verarbeitung für den betreffenden Zweck beendet werden.

Unter den Voraussetzungen des Art. 17 DS-GVO sind die personenbezogenen Daten außerdem zu löschen. Gesetzliche Aufbewahrungspflichten oder andere rechtliche Gründe können einer vollständigen Löschung entgegenstehen.

Unternehmen dürfen sich nicht ohne Weiteres nachträglich auf eine andere Rechtsgrundlage berufen, um eine ursprünglich ausschließlich auf Einwilligung gestützte Verarbeitung trotz Widerrufs unverändert fortzusetzen.

Die betroffene Person muss bereits vor Erteilung der Einwilligung über ihr Widerrufsrecht informiert werden.

Welche Besonderheiten gelten bei Kindern und im Beschäftigungsverhältnis?

Bei der Einwilligung von Kindern und Beschäftigten bestehen besondere Anforderungen, da die Freiwilligkeit und die Fähigkeit zur wirksamen Einwilligung sorgfältig beurteilt werden müssen.

Einwilligung von Kindern

Art. 8 DS-GVO enthält besondere Regelungen für die Einwilligung von Kindern bei Diensten der Informationsgesellschaft, die einem Kind direkt angeboten werden und deren Verarbeitung auf Art. 6 Abs. 1 lit. a DS-GVO gestützt wird.

In Deutschland gilt hierfür grundsätzlich eine Altersgrenze von 16 Jahren. Bei jüngeren Kindern ist die Verarbeitung unter den Voraussetzungen des Art. 8 DS-GVO nur rechtmäßig, wenn die Einwilligung durch die Träger der elterlichen Verantwortung oder mit deren Zustimmung erteilt wird.

Die Altersgrenze des Art. 8 DS-GVO gilt nicht pauschal für sämtliche Datenverarbeitungen von Minderjährigen. Außerhalb seines Anwendungsbereichs sind die jeweils einschlägigen rechtlichen Voraussetzungen zu prüfen.

Einwilligung im Beschäftigungsverhältnis

Im Arbeitsverhältnis ist die Freiwilligkeit einer Einwilligung besonders sorgfältig zu prüfen. Aufgrund des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten kann die Entscheidungsfreiheit eingeschränkt sein.

Eine Einwilligung ist deshalb nicht allein aufgrund ihrer ausdrücklichen Erteilung wirksam. Entscheidend ist, ob die beschäftigte Person tatsächlich frei entscheiden kann und keine unangemessenen Nachteile bei einer Verweigerung befürchten muss.

Die Anforderungen ergeben sich insbesondere aus Art. 4 Nr. 11 und Art. 7 DS-GVO. Ergänzende nationale Vorschriften, insbesondere § 26 BDSG, sind unter Berücksichtigung der unionsrechtlichen Vorgaben und der einschlägigen Rechtsprechung zu prüfen.

Unternehmen sollten daher gerade bei Beschäftigtendaten sorgfältig feststellen, ob eine Einwilligung die geeignete Rechtsgrundlage darstellt oder die Verarbeitung auf eine andere gesetzliche Grundlage gestützt werden muss.

Praxisbeispiel: Einwilligung bei der Newsletter-Anmeldung

Ein Online-Shop möchte seinen Kunden regelmäßig einen Newsletter mit Produktangeboten und Rabattaktionen zusenden.

Hierfür stellt das Unternehmen auf seiner Website ein gesondertes Anmeldeformular bereit. Interessierte Personen können ihre E-Mail-Adresse freiwillig eintragen und erhalten vor der Anmeldung verständliche Informationen über den Zweck der Datenverarbeitung und die Möglichkeit des jederzeitigen Widerrufs.

Zur Dokumentation der Anmeldung verwendet der Online-Shop ein Double-Opt-in-Verfahren. Erst nach Bestätigung des entsprechenden Links wird die E-Mail-Adresse für den Newsletter-Versand freigeschaltet.

Die Anmeldung zum Newsletter ist nicht Voraussetzung für einen Einkauf im Online-Shop. Kunden können daher auch ohne eine entsprechende Einwilligung Bestellungen aufgeben.

Jeder Newsletter enthält außerdem eine leicht zugängliche Abmeldemöglichkeit. Nach einem Widerruf stellt das Unternehmen den werblichen Versand auf Grundlage der widerrufenen Einwilligung ein.

legal data Einschätzung: Eine wirksame Einwilligung setzt voraus, dass betroffene Personen eine echte und informierte Entscheidung treffen können. Unternehmen sollten Einwilligungserklärungen deshalb klar formulieren, unterschiedliche Verarbeitungszwecke voneinander trennen und die Erteilung nachvollziehbar dokumentieren. Ebenso wichtig ist ein einfacher Widerrufsprozess. Eine sorgfältige Gestaltung der Einwilligung reduziert das Risiko unwirksamer Erklärungen und rechtswidriger Datenverarbeitungen.

Rechtsgrundlagen

Art. 4 Nr. 11 DS-GVO

Art. 5 Abs. 2 DS-GVO

Art. 6 Abs. 1 lit. a DS-GVO

Art. 7 und 8 DS-GVO

Art. 9 Abs. 2 lit. a DS-GVO

Art. 17 DS-GVO

Art. 88 DS-GVO

§ 26 BDSG

§ 25 TDDDG