Einwilligung
Die Einwilligung der betroffenen Person stellt eine wichtige Rechtsgrundlage dar, um die Verarbeitung von personenbezogenen Daten zu erlauben. Das Datenschutzrecht basiert auf dem Grundsatz, dass jeder Umgang mit personenbezogenen Daten verboten ist, solange das Gesetz keine Ausnahme vorsieht. Eine dieser Ausnahmen ist die freiwillige Zustimmung der betroffenen Person.
Eine Einwilligung einzuholen, ist oft aufwendig, weil die betroffene Person gefragt werden und aktiv zustimmen muss. Zu beachten ist auch, dass Verantwortliche die Datenverarbeitung einstellen müssen, wenn die betroffene Person ihre Zustimmung später widerruft.
Deshalb wird sie oft als letztes Mittel eingesetzt, wenn keine andere Rechtsgrundlage zum Ziel führt.
Gesetze & Vorschriften
- Art. 4 Nr. 11 DSGVO (gesetzliche Definition der Einwilligung)
- Art. 7 DSGVO (Bedingungen für die Einwilligung)
- Art. 8 DSGVO (Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft)
- Art. 6 Abs. 1 Buchstabe a und Art. 9 Abs. 2 Buchstabe a DSGVO (Einwilligung als Rechtsgrundlage für Datenverarbeitungen)
- § 26 Abs. 2 BDSG (Einwilligung von Beschäftigten in Deutschland)
Definition der Einwilligung
Die gesetzliche Definition besagt, wann eine Einwilligung vorliegt:
- Die Person gibt eine unmissverständliche Willensbekundung in Form einer Erklärung oder eine sonstige eindeutig bestätigende Handlung ab, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
- Sie ist über den zugrunde liegenden Sachverhalt informiert (umfassende Informationen über Umfang und Tragweite ihrer Entscheidung).
- Sie gibt ihre Willensbekundung freiwillig ab (ohne dass direkter oder indirekter Zwang ausgeübt wird).
Bedingungen für die Einwilligung
Art. 7 DSGVO nennt die Voraussetzungen, die für eine wirksame Einwilligung vorliegen müssen:
- Nachweisbarkeit:
Die Zustimmung muss zwar nicht unbedingt schriftlich erfolgen. Jedoch muss der Verantwortliche „nachweisen können“, dass die betroffene Person in die Datenverarbeitung eingewilligt hat. In der Praxis wird die Schriftform mit Unterschrift daher doch eine wichtige Rolle spielen. - Leichte Verständlichkeit:
Der Text muss leicht zugänglich und in einer klaren und einfachen Sprache abgefasst sein (zumindest wenn die Erklärung schriftlich eingeholt wird). - Hervorgehoben:
Bei einer schriftlichen Erklärung, die noch weitere Sachverhalte enthält, ist die Einwilligung so zu gestalten, dass sie von den anderen Teilen klar zu unterscheiden ist (beispielsweise durch Absätze, Fettdruck oder Umrandung). - Widerrufbarkeit:
Die betroffene Person muss das Recht besitzen, ihre Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Darüber muss sie bereits bei der Datenerhebung informiert werden (Art. 13 Abs. 2 Buchstabe b oder Art. 14 Abs. 2 Buchstabe c DSGVO) . - Koppelungsverbot:
Von Freiwilligkeit kann man meist nicht ausgehen, wenn die betroffene Person einer Datenverarbeitung zustimmen muss (z.B. für Werbung), die für den eigentlich gewollten Vertrag nicht erforderlich ist. In diesem Fall ist die Einwilligung unwirksam.
Einwilligung von Kindern im Internet
Spezielle Vorgaben enthält Art. 8 DSGVO, wenn IT-Dienste die Zustimmung von Kindern einholen (z.B. auf Internetseiten, Apps o.Ä.):
- Anstelle des Kinds müssen die Eltern einwilligen. Der Verantwortliche muss sich vergewissern, dass tatsächlich die Eltern und nicht das Kind eingewilligt hat. Dazu muss er „angemessene Anstrengungen“ unternehmen „unter Berücksichtigung der verfügbaren Technik“.
- Als Kind im Sinne dieser Vorschrift gilt, wer das 16. Lebensjahr noch nicht vollendet hat. Die Mitgliedstaaten besitzen die Befugnis, das Alter auf 13 Jahre abzusenken. Deutschland hat von dieser Möglichkeit keinen Gebrauch gemacht.
Einwilligung von Beschäftigten
Im Beschäftigungsverhältnis gelten besonders strenge Vorgaben für eine wirksame Einwilligung. Denn von einer Freiwilligkeit kann oft nicht ausgegangen werden, wenn der Vorgesetzte um etwas „bittet“ und der Beschäftigte sich wegen Befürchtungen um seine Arbeitsplatzsicherheit nicht traut, Nein zu sagen.
In Deutschland trifft für diesen Sachverhalt § 26 Abs. 2 BDSG klarstellende Regeln. Danach lässt sich im Arbeitsverhältnis von einer freiwilligen Zustimmung nur dann ausgehen, wenn besondere Umstände vorliegen.
Das ist der Fall, wenn der Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erlangt oder wenn Arbeitgeber und Arbeitnehmer gleich gelagerte Interessen verfolgen.
Nach § 26 Abs. 2 Satz 3 BDSG sollen Einwilligungen im Beschäftigungsverhältnis schriftlich oder elektronisch erfolgen (z.B. per E-Mail). Andere Formen sind nur unter besonderen Umständen zulässig.
Widerruf einer Einwilligung
Betroffene Personen müssen ihre Einwilligung jederzeit widerrufen können. Dieses Recht darf nicht eingeschränkt werden.
Auf das Widerrufsrecht ist die betroffene Person bereits bei der Datenerhebung hinzuweisen (Informationspflicht gemäß Art. 13 Abs. 2 Buchstabe c DSGVO).
Wird der Widerruf ausgeübt, darf ab diesem Zeitpunkt keine weitere Datenverarbeitung erfolgen.
Folgen einer fehlerhaften Einwilligung
Liegt keine oder eine fehlerhafte Einwilligung vor und greift auch kein anderer Erlaubnistatbestand, erfolgt die Datenverarbeitung rechtswidrig und ist damit unzulässig. Es drohen Sanktionen, etwa Geldbußen.