Datenschutzgrundverordnung (DSGVO) und Einwilligung in die Verarbeitung personenbezogener Daten

28. Februar 2018

Als eine der Grundlagen für die rechtmäßige Verarbeitung personenbezogener Daten erwähnt die Datenschutzgrundverordnung (DSGVO), dass für die Verarbeitung personenbezogener Daten die Einwilligung der betroffenen Personen eingeholt werden muss. Die DSGVO, die am 25. Mai 2018 in Kraft treten wird, legt die Art und Weise fest, auf welche die o.g. Einwilligung zu erteilen ist; außerdem befasst sie sich mit der Möglichkeit, diese Einwilligung später zu widerrufen.

Zu beachten ist, dass die Einwilligung eine gleichgewichtige und autonome Voraussetzung für die Rechtmäßigkeit der Datenverarbeitung ist; dies bedeutet, dass ihre Einholung dann nicht erforderlich ist, wenn eine der übrigen Bedingungen für die rechtmäßige Datenverarbeitung, die in Art. 6 DSGVO niedergelegt sind, erfüllt ist. Dies ist dann der Fall, wenn die Datenverarbeitung unabdingbar ist, um einen Vertrag mit der betroffenen Person zu erfüllen. In diesem Fall erfolgt die Datenverarbeitung rechtmäßig, und die Einholung der Einwilligung ist nicht notwendig. Der Verantwortliche ist verpflichtet, die Grundlage für die Datenverarbeitung anzugeben, er soll sie jedoch nicht verdoppeln. Als Beispiel einer schlechten Praxis kann man eine Situation anführen, in der die Einholung der Einwilligung Bedingung für den Abschluss eines Dienstleistungsvertrages ist, weil die Datenverarbeitung für die Vertragserfüllung unabdingbar und legal ist (in diesem Fall muss keine gesonderte Einwilligung eingeholt werden).

Kann die Einwilligung in beliebiger Form erteilt werden?

Die Einwilligung kann in beliebiger Form erteilt werden – sie muss lediglich eine bewusste, freiwillige und eindeutige Bestätigung einer konkreten Situation darstellen.

Die Einwilligung kann in Folgendem bestehen:

• durch Anklicken eines Kästchens beim Besuch einer Internetseite (Kästchen, die ohnehin angeklickt sind, sollten nicht als Erteilung der Einwilligung verstanden werden);
• Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft;
• in jeder anderen Erklärung oder jedem anderen Verhalten, die in dem betreffenden Kontext eindeutig darauf hinweisen, dass die (betroffene) Person der vorgeschlagenen Verarbeitung ihrer personenbezogenen Daten zugestimmt hat.

Bislang war es nach dem polnischen Datenschutzgesetz (DSG-PL) verboten, die Einwilligung konkludent zu erteilen; demgegenüber sieht die DSGVO diese Möglichkeit vor, sofern die Absicht der betroffenen Person eindeutig erkennbar ist.

Wie sind Mitteilungen über die Datenverarbeitung zu strukturieren?

Die Einwilligung muss freiwillig und bewusst erteilt werden; dies bedeutet, dass die betroffene Person zumindest die Identität des Verantwortlichen sowie die Ziele der Datenverarbeitung kennt. Gemäß der Präambel zur DSGVO müssen natürliche Personen sich darüber im Klaren sein, dass ihre personenbezogenen Daten verarbeitet werden und in welchem Umfang dies erfolgt. Sämtliche Mitteilungen und Informationen im Zusammenhang mit der Verarbeitung personenbezogener Daten müssen leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sein.

Die Erteilung der Einwilligung kann nicht als freiwillig angesehen werden, wenn die betroffene Person keine echte oder freie Wahl hat und die Einwilligung weder verweigern noch widerrufen kann, ohne Nachteile zu erleiden. Von Freiwilligkeit kann z.B. dann nicht die Rede sein, wenn von der Erteilung der Einwilligung in die Verarbeitung personenbezogener Daten die Erfüllung eines Vertrages (darunter die Erbringung einer Dienstleistung) abhängig ist, wobei die Verarbeitung der personenbezogenen Daten für die Erfüllung dieses Vertrages nicht unabdingbar ist. In der Praxis kann es schwierig sein, festzustellen, ob die Einwilligung freiwillig erteilt wurde, insbesondere dann, wenn zwischen den betroffenen Personen und dem Verantwortlichen ein ungleiches Verhältnis besteht. In diesem Fall muss die Verarbeitung der personenbezogenen Daten auf einer anderen Grundlage als derjenigen der Einwilligung erfolgen, denn die faktische Ungleichheit der Parteien kann die Entscheidungsfreiheit in Frage stellen.

Wann kann ich die Einwilligung in die Verarbeitung personenbezogener Daten widerrufen?

Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein. Die DSGVO sieht ausdrücklich das Recht vor, eine erteilte Einwilligung zu jedem beliebigen Zeitpunkt zu widerrufen; über dieses Recht sind die betroffenen Personen zu informieren, bevor sie ihre Einwilligung erteilen.

Hervorzuheben ist, dass durch den Widerruf der Einwilligung die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt wird. In diesem Fall muss jedoch der Verantwortliche die Datenverarbeitung einstellen und die personenbezogenen Daten löschen, wenn sie bereits nicht mehr für die Zwecke benötigt werden, für die sie gesammelt oder verarbeitet wurden.

Der Vergleich der gegenwärtigen Regelungen mit denjenigen, die am 25. Mai 2018 in Kraft treten, führt zu der Schlussfolgerung, dass der größte Teil der bisher erteilten Einwilligungen seine Gültigkeit behält. Erwägungsgrund 171 der Präambel der DSGVO besagt: Beruhen die Verarbeitungen auf einer Einwilligung gemäß der (gegenwärtig geltenden) Richtlinie 95/46/EG, so ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entspricht. Dies gibt dem Verantwortlichen die Möglichkeit, die Datenverarbeitung nach Inkrafttreten der DSGVO fortzusetzen. Die erteilten Einwilligungen müssen jedoch den Standards der DSGVO entsprechen – u.a. dadurch, dass sie leicht widerrufen werden können und dass sie die Information enthalten, dass die Einwilligung jederzeit widerrufen werden kann.

DSGVO und DSG-PL

Die DSGVO liberalisiert bestimmte Fragen, die im geltenden polnischen Datenschutzgesetz (DSG-PL) geregelt sind; beispielsweise führt sie, wie erwähnt, die Möglichkeit einer konkludenten Einwilligung ein. Im DSG-PL wurde die konkludente Einwilligung explizit ausgeschlossen; nach der DSGVO dagegen ist es möglich, die Einwilligung dadurch zu erteilen, dass eine Person durch ihr Handeln eindeutig zu erkennen gibt, dass sie in die Datenverarbeitung einwilligt.

Darüber hinaus enthält die DSGVO – im Gegensatz zum DSG-PL – nicht die Verpflichtung, die Einwilligung zur Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. bezüglich der Gesundheit) schriftlich einzuholen. Die Verarbeitung solcher Daten ist im Hinblick auf ihren sensiblen Charakter nunmehr grundsätzlich verboten. Dieses Verbot kann nur bei Erfüllung bestimmter Bedingungen aufgehoben werden, u.a. dann, wenn die ausdrückliche Einwilligung der betroffenen Personen eingeholt wird; dessen ungeachtet kann ein Mitgliedsstaat das o.g. Verbot für zwingend erklären – in diesem Fall dürfen solche Daten selbst bei Einwilligung der betroffenen Personen nicht verarbeitet werden.

Sollten Sie an weiteren Einzelheiten zu diesem Thema interessiert sein, so stehen Ihnen die Spezialisten von Rödl & Partner sowohl bei dieser Frage als auch bei allen anderen Aspekten der neuen Vorschriften der DSGVO gerne zur Verfügung.