Auch mit der am 25.05.2018 inkrafttretenden DS-GVO bleibt das sogenannte „Verbot mit Erlaubnisvorbehalt“ (Art. 6 DS-GVO  bzw. § 4 BDSG a. F.) bestehen. Dies bedeutet, dass die Datenverarbeitung verboten ist, außer sie ist durch das Gesetz ausdrücklich erlaubt oder der Betroffene hat der Verarbeitung seiner Daten zugestimmt.

Viele Unternehmen die personenbezogene Daten verarbeiten, beziehen sich bei der Verarbeitung (z. B. beim Versand von Newslettern) auf die Einwilligung der betroffenen Person.

ANFORDERUNG AN EINE RECHTSGÜLTIGE EINWILLIGUNG

Während die Anforderungen bisher durch den § 4a BDSG a. F. i. V. m. § 13 II TMG (Telemediengesetz) geregelt wurde, beschreibt nunmehr ab 25.05.2018 der Art. 7 DS-GVO (unter auslegender Betrachtung des § 51 DSAnpUG-EU/ BDSG n. F.) die „Bedingungen für eine Einwilligung“.

Die wichtigsten Anforderungen an die Einwilligungserklärung sind folgende:

Die Einwilligung wurde freiwillig durch den Betroffenen abgegeben

Eine Einwilligung muss freiwillig erfolgen. Der Betroffene darf während der Einholung der Entscheidung weder in seiner Entscheidungskraft eingeschränkt noch vor vollendete Tatsachen gestellt werden. Eine Einwilligung, welche unter Druck oder Zwang abgegeben wurde ist unwirksam. Weiterhin darf die Einwilligung nicht von der Erfüllung eines Vertrages oder der Erbringung einer Dienstleistung abhängig gemacht werden (Art. 7 IV DS-GVO).

Form der Einwilligungserklärung

Die Erklärung muss in einer verständlichen und leicht zugänglichen Form sowie in klarer und einfacher Sprache verfasst werden. Wird eine Einwilligung elektronisch eingeholt (Bsp. auf einer Website), so sind gem. § 13 II und III TMG Besonderheiten zu beachten. Zum Beispiel könnte dort die Einwilligung mittels Anklicken eines Kästchens eingeholt werden, da gem. Erwägungsgrund 32 zur DS-GVO die Einwilligung nur durch eine eindeutige Handlung zustande kommt (wäre beim Klicken eines Kästchens gegeben).

Information des Betroffenen

Jeder Betroffene muss vor der Abgabe seiner Einwilligung zur Datenverarbeitung über den Zweck und den Umfang  der Verarbeitung/ Erhebung/ Nutzung seiner personenbezogenen Daten Informiert werden. Es ist hier zu beachten, dass für jeden unterschiedlichen Zweck eine separate Einwilligungserklärung abgegeben werden muss.

Widerruflichkeit der Einwilligungserklärung

Die Einwilligung kann jederzeit durch den Betroffenen widerrufen werden (Art. 7 III DS-GVO), es reicht in der Regel ein formloser Widerruf aus. Die betroffene Person ist bereits vor  bzw. zur Erteilung der Einwilligung auf ihr Recht zum Widerruf der Einwilligung zu unterrichten.

NACHWEISPFLICHT

Sobald sich ein Unternehmen auf eine Einwilligung bei der Datenverarbeitung stützt, muss dieses auch nachweisen können, dass der Betroffene in die jeweilige Verarbeitung der Daten zu dem gegebenen Zweck eingewilligt hat.

Im Hinblick auf die Nachweispflicht der Datenverarbeiter ist nach wie vor die Schriftform der Einwilligungserklärung zu empfehlen (ggf. auch Protokollierung im IT-System), auch wenn diese nicht durch DS-GVO vorgeschrieben ist.

BESONDERE KATEGORIEN PERSONENBEZOGENER DATEN

Die Verarbeitung von personenbezogenen Daten, aus denen unter anderem die rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung sowie die Gewerkschaftszugehörigkeit hervorgeht unterliegt gem. Art. 9 I DS-GVO besonderen Voraussetzungen. Weiterhin unterliegt die Verarbeitung von Gesundheitsdaten, Daten zum Sexualleben oder der sexuellen Orientierung und die Verarbeitung von genetischen Daten und biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person besondere Voraussetzungen.

Um diese Daten rechtswirksam verarbeiten zu können, muss ausdrücklich zur Verarbeitung der sensiblen Daten eingewilligt werden. Hier ist eine schriftliche Einwilligungserklärung abzugeben, da hier eine Einwilligung durch schlüssiges Handeln nicht ausreichend ist.

Im Rahmen von elektronischen Einwilligungen bei Werbemaßnahmen können ebenfalls besondere Maßnahmen notwendig werden. Auch nach Inkrafttreten der ePrivacy-Verordnung können sich weitere Anforderungen ergeben (z. B. bei der Einbindung von Webanalyse-Tools).

WIRKSAMKEIT VON „ALT-EINWILLIGUNGEN“

Grundsätzlich lässt sich nunmehr sagen, dass die bisher wirksamen Einwilligungen auch mit Bestehen der DS-GVO nicht automatisch unwirksam werden. Voraussetzung für die bestehende Wirksamkeit der Erklärung ist gem. Erwägungsgrund 171 Satz 3 der DS-GVO „[…], wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entspricht, so dass der Verantwortliche die Verarbeitung nach dem Zeitpunkt der Anwendung der vorliegenden Verordnung fortsetzen kann.“