DS-GVO/BDSG. David Klein

In NRW formt so die CoronaSchVO die Anforderungen nach Art. 6 Abs. 1 S. 1 lit. c im Einklang mit ErwG 41 weiter aus[23]. In anderen Bundesländern ist womöglich Art. 6 Abs. 1 S. 1 lit. f heranzuziehen, so dass dessen Voraussetzungen in Zeiten der Pandemie mit Blick auf die betroffenen Interessen sorgsam zu prüfen sind. Weitere Folgefragen sind etwa, wie Kontaktdaten von Besuchern einer Gastronomie erhoben werden dürfen.[24] Diese Rechtsfragen stellen Rechtsanwender vor praktische Herausforderungen und gestalten Inhalt und Reichweite der Erlaubnistatbestände des Art. 6 weiter aus.

B. Art. 6 Abs. 1 lit. a

      (1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a)	Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

      – ErwG: 32, 40, 42, 43

      Literatur:

Albrecht Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Art.-29-Datenschutzgruppe Guidelines on Consent under Regulation 2016/679, WP 259 rev. 01; Datenethikkommission (DEK) Gutachten v. 23.10.2019[25]; Krohm Abschied vom Schriftformgebot der Einwilligung – Lösungsvorschläge und künftige Anforderungen, ZD 2016, 368; Spelge Der Beschäftigtendatenschutz nach Wirksamwerden der Datenschutz-Grundverordnung (DS-GVO), DuD 2016, 775; Tinnefeld/Conrad Die selbstbestimmte Einwilligung im europäischen Recht, ZD 2018, 391; Wybitul EU-Datenschutz-Grundverordnung in der Praxis – Was ändert sich durch das neue Datenschutzrecht?, BB 2016, 1077.

I. Einordnung und Hintergrund

      11

Die Einwilligung ist die Entscheidung des Betroffenen, dem Verarbeiter die Verarbeitung von personenbezogenen Daten zu gestatten. Art. 6 Abs. 1 lit. a definiert die Funktion der Einwilligung als Erlaubnistatbestand für eine Verarbeitung personenbezogener Daten. Innerhalb des Art. 6 ist die Einwilligung zwar als erste Legitimation für eine Datenverarbeitung aufgeführt, hiermit geht aber keine Wertung einher. Ein Vorrang der Einwilligung vor anderen Erlaubnistatbeständen ist der DS-GVO fremd. Auch wenn sie die informationelle Selbstbestimmung des Betroffenen aus dessen Perspektive am besten zur Geltung bringt, so wird sie im Rahmen einer Gesamtschau der Umstände der Datenverarbeitung häufig ungeeignet sein, um die Ziele der DS-GVO zu erfüllen, weil das Instrument der Einwilligung „systematisch überfordert“ ist.[26] Da der Einzelne durch die Anzahl und Komplexität der ihm abverlangten Entscheidungen und durch die Unabschätzbarkeit ihrer Auswirkungen überfordert ist, ist ein sachgerechter Umgang mit dem Rechtsinstitut faktisch häufig unmöglich und Ursache für einen Vertrauensverlust in der digitalen Gesellschaft.[27] Geht die Rechtmäßigkeit von einem anderen Erlaubnistatbestand als Art. 6 Abs. 1 lit. a aus, kommt es auf eine Einwilligung des Betroffenen nicht mehr an. Der Verantwortliche kann zwar grundsätzlich seine Datenverarbeitung auch auf mehr als einen Erlaubnistatbestand stützen, jedoch ist eine Einwilligung neben anderen Erlaubnistatbeständen dann ungeeignet, wenn hierdurch gegen das Erforderlichkeitserfordernis in Art. 6 Abs. 1 lit. b oder das Kopplungsverbot in Art. 7 Abs. 4 verstoßen wird.[28]

II. Kommentierung 1. Einwilligung

a) Rechtsnatur

      12

Die Einwilligung des Betroffenen in eine Datenverarbeitung legitimiert die Verarbeitung. Sie ist eine höchstpersönliche und deshalb jederzeit grundlos widerrufbare (Art. 7 Abs. 3 S. 1 DS-GVO) Willenserklärung, die Rechtsfolgen auslöst, so dass sie einen rechtsgeschäftlichen Erklärungsgehalt hat.[29] Die Bewertung der Rechtsnatur der Einwilligung, mag sie auch mehr rechtstheoretischer Natur sein, als Realhandlung, ist ebenso missverständlich wie überflüssig.[30]

b) Wirksamkeitsanforderungen

      13

      Die Wirksamkeitsanforderungen an die Einwilligung als Legitimierung der Datenverarbeitung sind an verschiedenen Stellen in der Verordnung normiert. Neben Art. 6 Abs. 1 lit. a finden sie sich in den Art. 4 Nr. 11, 7 und 8.

      14

Art. 6 Abs. 1 lit. a legt unmittelbar fest, dass die Einwilligung „für einen oder mehrere bestimmte Zwecke“ erteilt werden kann. Über den Zweck bzw. die Zwecke muss die betroffene Person vor oder bei der Erteilung der Einwilligung informiert werden.[31] Die jeweilige Einwilligung soll sich sodann auf alle zu diesen Zwecken vorgenommenen Verarbeitungsvorgänge beziehen.[32] Der Zweck der Verarbeitung ist so konkret wie möglich zu fassen, gleichwohl aber transparent und verständlich. Um diesen Anforderungen zu genügen, muss die Einwilligung sämtliche Verarbeitungsvorgänge im Sinne von Art. 4 Nr. 2 abdecken. Als ungeschriebenes Tatbestandsmerkmal dürfte zu ergänzen sein, dass die Einwilligung vor Aufnahme der jeweiligen Verarbeitung einzuholen ist. Eine nachträgliche Genehmigung genügt den Transparenzanforderungen aus Art. 5 nicht. In Fällen nachträglicher Genehmigungen ist vielmehr zu prüfen, ob die Einwilligung nicht konkludent abgegeben wurde und die Genehmigung lediglich der Dokumentation der bereits erteilten wirksamen Einwilligung dient.[33]

      15

Art. 4 Nr. 11 definiert die Einwilligung legal. Danach handelt es sich um eine Willensbekundung über das Einverständnis zur Verarbeitung personenbezogener Daten. Sie soll daher durch eine freiwillige, bestätigende Handlung erfolgen, die für einen konkreten Fall, in informierter Weise und unmissverständlich zum Ausdruck bringen, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Im Ergebnis statuiert Art. 4 Nr. 11 eine Reihe von Wirksamkeitsvoraussetzungen für die Einwilligung.[34] Diese müssen erfüllt sein, um dem Rechtmäßigkeitstatbestand nach Art. 6 Abs. 1 lit. a zu genügen.

      16

      

Art. 7 bestimmt weitere Voraussetzungen, deren Vorliegen konstitutiv für eine rechtmäßige Einwilligung sind. Eine rechtmäßige Einwilligung sieht danach eine Nachweispflicht auf Seiten des Verantwortlichen vor (Art. 7 Abs. 1). Weitere Voraussetzungen sind sowohl die Freiwilligkeit (Art. 7 Abs. 4), als auch die Transparenz und Eigenständigkeit der Einwilligung (Art.