§ 4 Rechtsgrundlagen der Verarbeitung / A. Datenverarbeitung aufgrund einer Einwilligung, Art. 6 Abs. 1 lit. a) DSGVO

Rz. 1

Auch innerhalb des Regelungsgefüges der DSGVO können Verarbeitungen sowohl auf einer Einwilligung des Betroffenen beruhen, als auch ohne Einwilligung erfolgen, z.B. wenn eine Verarbeitung in Erfüllung einer gesetzlichen Verpflichtung erfolgt oder zur Durchführung eines mit dem Betroffenen geschlossenen Vertrages erforderlich ist. Ebenso kennt auch die DSGVO die Verarbeitung auf Grundlage eines berechtigten Interesses des Verantwortlichen in Abwägung mit schutzwürdigen Belangen des Betroffenen. Auch wenn die Verarbeitung auf Grundlage einer Einwilligung in der rein wirtschaftlichen und tatsächlichen Betrachtung, ebenso wie im System der Ermächtigungsnormen der DSGVO keine besondere Position einnimmt und die Verarbeitung auf Grundlage einer Einwilligung auch den anderen Ermächtigungsnormen nicht vorrangig ist,^[1] soll – in Anlehnung an die Ordnungsvorgaben der Verordnung – die Datenverarbeitung aufgrund einer Einwilligung auch in diesem Werk an erster Stelle betrachtet werden.

[1] In Art. 6 Abs. 1 DSGVO heißt es, dass "mindestens eine der nachstehenden Bedingungen" zu erfüllen ist. Dies belegt zum einen, dass ein Verarbeitungsvorgang zugleich auf mehreren Ermächtigungsnomen beruhen kann, zum anderen, dass ein "Ranggefüge" der Erlaubnistatbestände nicht besteht und die in Art. 6 Abs. 1 DSGVO normierten Grundlagen daher gleichranging nebeneinander stehen. So bspw. auch Buchner/Petri, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 6 Rn 22 f.

I. Inhaltliche Anforderungen an die Einwilligung des Betroffenen

Rz. 2

Nach Art. 6 Abs. 1 lit a) DSGVO soll die Verarbeitung zulässig sein, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke^[2] gegeben hat. Die Formulierung macht zum einen deutlich, dass eine Einwilligung (zeitgleich) für mehrere Zwecke erteilt werden kann, zum anderen wird klar, dass sich eine Einwilligung auch in einem solchen Fall jeweils auf einen konkreten Zweck beziehen muss.^[3] Der Legaldefinition der "Einwilligung" in Art. 4 Nr. 11 DSGVO folgend, ist hierunter

Zitat

"jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung […], mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist"

zu verstehen. Die nähre Ausgestaltung der Einwilligung und ihrer Anforderungen sind des Weiteren in Art. 7 DSGVO,^[4] Art. 8 DSGVO^[5] und Art. 9 Abs. 2 lit. a) DSGVO^[6] geregelt. Ergänzend ist auf die Erwägungsgründe sowie die bisherige Stellungnahmen der Art. 29-Datenschutzgruppe^[7] zurückzugreifen.

[2] Zur Zweckfestlegung § 3 Rdn 15 ff.

[3] In Erwägungsgrund 32 DSGVO heißt es: "Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden."; siehe auch Erwägungsgrund 42 DSGVO: "Damit sie in Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen."

[4] Allgemeine Anforderungen.

[5] Besondere Anforderungen an die Einwilligung eines Kindes.

[6] Besondere Anforderungen bei Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten.

[7] Insbesondere: Stellungnahme 15/2011 zur Definition von Einwilligung vom 13.7.2011, WP 187, abrufbar unter: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2011/wp187_de.pdf; Arbeitsunterlage 02/2013 mit Leitlinien für die Einholung der Einwilligung zur Verwendung von Cookies vom 2.10.2013, WP 2008, abrufbar unter: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp208_de.pdf; Stellungnahme 04/2012 zur Ausnahme von Cookies von der Einwilligungspflicht vom 7.6.2012, WP 194, abrufbar unter: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp194_de.pdf.

1. Freiwilligkeit

Rz. 3

Mit Blick auf die bereits dargestellten Schutzzwecke des Datenschutzrechtes kann eine Einwilligung nur wirksam sein, soweit sie auf der freien Entscheidung des Betroffenen beruht.^[8] Dieses Erfordernis der Freiwilligkeit stellt eines der wesentlichen Anforderungen an eine wirksame Einwilligungserklärung dar. Nach den Vorgaben der über Art. 6 Abs. 1 EUV in Bezug genommenen Charta der Grundrechte der Europäischen Union (Art. 8 GRCh) steht dem Einzelnen grundsätzlich frei, selbst zu entscheiden, welchen Dritten er seine Daten offenbaren möchte. Das Erfordernis der Freiwilligkeit kann insbesondere fehlen, wenn sich der Betroffene gegenüber dem Verantwortlichen in einer Situation befindet, in der der Verantwortliche dem Betroffenen rechtlich oder tatsächlich überlegen ist.

Rz. 4

Bei Einwilligungen, die im Zusammenhang mit der Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, erklärt bzw. eingeholt werden, kann die Freiwilligkeit gem. Art. 7 Abs. 4 DSGVO daran scheitern, da...