17
Die Einwilligung als Erlaubnistatbestand muss zu Gunsten eines jeden Verantwortlichen, der sich auf die Einwilligung berufen möchte, eingeholt werden. Dies gilt auch bei gemeinsam Verantwortlichen nach Art. 26.[36] Eine Einwilligung bei gemeinsamen oder mehreren Verantwortlichen kann von einem Verantwortlichen für alle eingeholt werden, sofern für den Betroffenen transparent erkennbar ist, wem gegenüber seine Erklärung gelten soll und welche Verantwortlichen auf Grundlage der Einwilligung seine personenbezogenen Daten verarbeiten werden.[37]
18
Sofern sich die Einwilligung auf von Art. 8 erfasste Fälle bezieht, sind die darin spezifizierten Wirksamkeitserfordernisse einer Einwilligung von Minderjährigen zu beachten.[38]
19
Wird eine vorformulierte Einwilligungserklärung zusammen mit anderen Vertragspunkten in Allgemeinen Geschäftsbedingungen verwendet, hat sie insbesondere dem Transparenzgebot des Art. 5 Abs. 1 lit. a zu genügen.[39] Maßstab für die Einhaltung des Transparenzgebots ist dabei die Richtlinie 93/13/EWG.[40] Wesentliches Kriterium ist hierbei, dass Betroffene den Umfang und die Konsequenzen der Verarbeitung, auf die sich die Einwilligung bezieht, erfassen können. Nicht erforderlich hingegen ist, dass Betroffene die Datenverarbeitung im Detail durchdringen.[41]
c) Alteinwilligungen
20
Die Einwilligung ist kein Novum, das mit der DS-GVO Einzug erhält. Gerade in der Rechtspraxis im nichtöffentlichen Bereich ist die vom Betroffenen abgegebene Einwilligung in die Verarbeitung seiner personenbezogenen Daten seit jeher von hoher Relevanz. Für die Rechtsanwendung steht damit die Frage im Raum, wie mit bereits vorliegenden Einwilligungen gem. der DSRL umzugehen ist. Dazu trifft die DS-GVO in ihren Erwägungsgründen eine klare Aussage: „Beruhen die Verarbeitungen auf einer Einwilligung gem. der Richtlinie 95/46/EG, so ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entspricht, so dass der Verantwortliche die Verarbeitung nach dem Zeitpunkt der Anwendung der vorliegenden Verordnung fortsetzen kann.“[42] Diese Sichtweise wird durch die Art.-29-Datenschutzgruppe in ihrem WP 259 unterstützt.[43]
21
Die Aufsichtsbehörden sind diesbezüglich zu dem Schluss gekommen, dass bisher rechtswirksame Einwilligungen diese Bedingungen grundsätzlich erfüllen, da insbesondere Informationspflichten nach Art. 13 dafür nicht erfüllt sein müssen.[44]
22
Wurde die Einwilligung aber entgegen den Bestimmungen der DS-GVO von dem Betroffenen abgegeben, so ist die Verarbeitung der Daten unzulässig.[45] Besondere Beachtung verdient deswegen das Kriterium der Freiwilligkeit, die für eine rechtmäßige Einwilligung i.S.d. DS-GVO unabdingbar ist.[46]
d) Form
23
Ein Schriftformerfordernis wie noch aus dem BDSG a.F. bekannt enthält die DS-GVO nicht. Die ausdrückliche Einwilligung kann demzufolge auch elektronisch oder mündlich erklärt werden.[47] Der Formfreiheit steht die Beweispflicht des Verantwortlichen für das Vorliegen einer Einwilligung gegenüber. In der Regel und vor allem bei erheblichen Gefährdungen für das Persönlichkeitsrecht des Betroffenen wird die schriftliche und deswegen am besten dokumentierbare Einwilligungserklärung – mit Blick auf die Rechenschaftspflicht nach Art. 5 Abs. 2, aber auch zum Schutz vor zivilrechtlicher Haftung – zu präferieren sein.[48] Je nach Verarbeitungssituation kann eine elektronisch abgegebene Einwilligung unter dem Gesichtspunkt der Datensparsamkeit und zur Einhaltung der Dokumentationspflicht ebenso oder besser geeignet sein wie eine schriftlich erteilte Einwilligung. Ein Medienbruch führt in der Regel zu einer erhöhten Anforderung an die Dokumentationspflicht. Eine Einwilligung kann (fern-)mündlich erteilt werden, sofern die Wirksamkeitsvoraussetzungen erfüllt werden. Im Rahmen der Dokumentation empfiehlt sich hier eine Bestätigung in Text- oder Schriftform an den Betroffenen sowie eine Dokumentation durch den Einholenden.
24
Im Sinne der den Datenschutz kennzeichnenden Transparenz ist die Einwilligungserklärung „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“[49] zu verfassen. Eine rechtmäßige Einwilligung kann nach Abkehr vom Schriftformerfordernis bereits durch eine eindeutige bestätigende Handlung erfolgen.[50] Damit ist eine wirksame Einwilligung bereits durch schlüssiges Verhalten (konkludente Einwilligung) möglich, das sich allerdings in einer nachweislichen, also dokumentierbaren, aktiven Handlung ausdrücken muss.[51]
25
Die Grenze, ab welcher die Einwilligung keine Rechtmäßigkeit mehr i.S.d. Art. 6 Abs. 1 lit. a begründet, beginnt spätestens beim Stillschweigen. Auch die bloße Untätigkeit der betroffenen Person stellt keine Einwilligung dar.[52] Die Abgrenzung einer Einwilligung durch konkludentes Verhalten von bloßer Untätigkeit wird in der Praxis Schwierigkeiten bereiten.[53] Dies gilt auch gerade im Hinblick auf mögliche sogenannte „Opt-Outs“ bei vorformulierten Einwilligungserklärungen, deren Zulässigkeit unter der DS-GVO nicht mehr gegeben ist.[54] Dies ergibt sich aus ErwG 32 S. 3 der DS-GVO und wurde durch den EuGH in der Planet49-Entscheidung noch einmal ausdrücklich bestätigt.[55] Für die Einwilligung in die Datenverarbeitung für Zwecke der Werbung[56] galt bis zum 25.5.2018 Folgendes: Für die datenschutzrechtlich wirksame Einwilligung genügt nach Auffassung des BGH ein „Opt-Out“[57], während für die lauterkeitsrechtliche Einwilligung ein „Opt-In“ notwendig ist. Seit dem 25.5.2018 sind diese Unterschiede eingeebnet, denn ab diesem Zeitpunkt gilt Art. 6 Abs. 1 lit. a DS-GVO bzw. Art. 6 Abs. 1 lit. f sowie ErwG 47 S. 7.[58] Für die Rechtsanwendung wird die Eindeutigkeit der bestätigenden Handlung der Maßstab für die Wirksamkeit der Einwilligung sein (vertiefend zur Einwilligungsgestaltung bei online abzugebenden Erklärungen Art. 4 Nr. 11 Rn. 208 ff.). Zu den Anforderungen und Grenzen im Rahmen des Koppelungsverbots vgl. Art. 7 Rn. 48.
26
Auch hinsichtlich der Form einer wirksame Einwilligung nach der ePrivacy-RL in Verbindung mit der DSRL bzw. der DS-GVO hat der EuGH 2019 im Rahmen eines Vorabentscheidungsersuchens des BGH von 2017[59] entschieden, dass eine wirksame Einwilligung im konkreten Fall für die Verwendung von Cookies bei einem voreingestellten Ankreuzkästchen nicht vorliegt (hierzu sowie zur Frage nach dem Erfordernis einer Einwilligung für das Setzen von Cookies im nationalen Kontext vertiefend Rn. 168 ff. und Art. 4 Nr. 11 Rn. 211 ff.).
e) Besonderheiten im Verhältnis zum Recht am eigenen Bild
27