DS-GVO/BDSG. David Klein

      Hat das Kind noch nicht das 16. Lebensjahr vollendet, so bestimmt Art. 8 Abs. 1 UAbs. 1 S. 2, dass eine Datenverarbeitung nur rechtmäßig ist, sofern und soweit die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.

b) Träger der elterlichen Verantwortung

      36

Nach deutschem Recht sind Träger der elterlichen Verantwortung grundsätzlich die Eltern (§§ 1626, 1629 BGB).[51] Gem. § 1629 Abs. 1 S. 2 BGB vertreten sie das Kind gemeinschaftlich. Allerdings kann ein Elternteil den anderen auch konkludent zur entsprechenden Vertretung des gemeinsamen Kindes ermächtigen; jedenfalls aufgrund Rechtsscheins genügt bei Geschäften des täglichen Lebens daher regelmäßig die Einwilligung eines Elternteils.[52]

c) Einwilligung für das Kind

      37

Erlaubt Art. 8 Abs. 1 UAbs. 1 S. 2 ausdrücklich die Einwilligung für das Kind, bedeutet dies jedoch nicht, dass die Eltern frei in ihrer Entscheidung über die Verarbeitung der personenbezogenen Daten des Kindes sind. Eine andere Auffassung wäre insbesondere mit dem Gewährleistungsgehalt des Art. 8 GRCh nicht zu vereinbaren.[53] Eine Einwilligung gegen den Willen des Kindes als Grundrechtsträger kommt damit nicht in Betracht.[54] Die Träger der elterlichen Sorge dürfen die Einwilligung ausschließlich im Interesse des Kindes abgeben.[55]

d) Zustimmung des Trägers der elterlichen Verantwortung

      38

Hinsichtlich der Einwilligung des Kindes mit Zustimmung der Eltern ist noch unklar, was genau der Begriff der „Zustimmung“ hier meint. Nach deutscher Terminologie kann dieser Terminus sowohl die vorherige Zustimmung (= Einwilligung) als auch die nachträgliche Zustimmung (= Genehmigung) umfassen. Jedenfalls aufgrund des Schutzzwecks und des Wortlauts der Norm auch in anderen Sprachfassungen („only if and to the extent that consent is given or authorised by the holder of parental responsibility over the child.“) kann hier aber nur die vorherige Zustimmung gemeint sein.[56]

e) Form der Einwilligung

      39

Hinsichtlich der Form der Einwilligung der Träger elterlichen Verantwortung gelten die allgemeinen formalen Anforderungen des Art. 7 (siehe auch dortige Kommentierung, Rn. 31 ff.).[57] Bei Online-Anwendungen soll eine Zustimmung ohne Medienbruch möglich sein.[58]

3. Rechtsfolgen

      40

Die wirksam erteilte Einwilligung gilt auch über das Erreichen der Altersgrenze hinaus.[59]

      41

Ein Verstoß gegen die Anforderungen des Art. 8 führt zur Unwirksamkeit der Einwilligung mit der Folge, dass die Datenverarbeitung rechtswidrig ist (soweit nicht im Einzelfall ein anderer Erlaubnistatbestand eingreift).[60]

      42

Weiterhin sind die Daten des Betroffenen umgehend zu löschen.[61]

      43

      Bei einem Verstoß gegen Art. 8 kommt darüber hinaus gem. Art. 83 Abs. 1, Abs. 4 lit. a auch ein Bußgeld in Betracht.

      44

      Ein aus der unzulässigen Datenverarbeitung entstandener Schaden ist auf Grundlage des Art. 81 ersatzfähig.

III. Öffnungsklausel (Abs. 1 UAbs. 2)

      45

Art. 8 Abs. 1 UAbs. 2 enthält eine fakultative Öffnungsklausel. Hiernach steht es den Mitgliedstaaten offen, die Altersgrenze von 16 Jahren auf maximal 13 Jahre herabzusetzen. Die Regelung orientiert sich dabei an dem US-amerikanischen Children‚s Online Privacy Protection Act (COPPA).[62]

      46

Von der Möglichkeit der Herabsetzung der Altersgrenze hat der deutsche Gesetzgeber – im Gegensatz zu einer Vielzahl anderer Mitgliedstaaten, wie Österreich, Schweden, Belgien, Dänemark, Italien, Spanien und Frankreich[63] – keinen Gebrauch gemacht. Es gilt hier mithin die Altersgrenze von 16 Jahren.

      47

Ermöglicht die Öffnungsklausel zwar die Anpassung der Altersgrenze an die jeweiligen rechtlichen Gegebenheiten innerhalb der Mitgliedstaaten, konterkariert diese jedenfalls zum Teil das erklärte Ziel der DS-GVO, einen einheitlichen Rechtsrahmen für den Datenschutz in Europa zu schaffen.[64] So ist für die Altersgruppe der 13- bis 15-Jährigen gerade keine vollständige Harmonisierung der Regelungen erreicht worden.

      48

Die Öffnungsklausel soll keine Anwendung finden, soweit Unternehmen aus Drittstaaten Einwilligungserklärungen von Nutzern in einem EU-Mitgliedstaat einholen, auf den sich ihr Dienst nicht ausrichtet.[65] In diesen Konstellationen bleibt es ungeachtet der Öffnungsklausel bei der Grenze von 16 Jahren. Die Bestimmung des jeweils anzuwendenden nationalen Rechts lässt Art. 8 ungeregelt. Aufgrund dessen greift das allgemeine Kollisionsrecht der DS-GVO in Art. 3. Nationale Bestimmungen über die jeweilige Altersgrenze sind dann unbedeutend, solange sich das Kind innerhalb der EU befindet.[66]

IV. Nachprüfungspflichten des Verantwortlichen (Abs. 2)

1. Allgemein

      49

      Nach Art. 8 Abs. 2 muss der Verantwortliche unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um sich zu vergewissern, dass die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wurde.

      50

Das Erfordernis der Einwilligung oder der Zustimmung nach Abs. 1 UAbs. 1 S. 2 wird durch die Vorschrift dahingehend ergänzt, dass der Verantwortliche zum Nachweis über die wirksame Einwilligung verpflichtet wird. Die Praxis steht hier vor der großen Herausforderung, geeignete und rechtssichere Wege für die Dokumentation zu finden. Gerade die Frage der Angemessenheit der Maßnahmen wird von den Datenschutzaufsichtsbehörden und letztendlich vom EuGH zu entscheiden sein.[67]

      51

Nicht geregelt ist die in der Praxis ebenfalls bedeutsame Frage der Überprüfung des Alters des Erklärenden.[68] Hier wird man nach Sinn und Zweck der Regelung und wegen des Fehlens einer ausdrücklichen Vorgabe