Die Einwilligungserklärung ist eine der wichtigsten Komponenten des Datenschutzes und der DS-GVO.
Bei der Datenverarbeitung besteht ein Verbot mit Zulässigkeitstatbeständen. Die Verarbeitung ist also grundsätzlich verboten, solange keine gesetzliche Ausnahme vorliegt oder eine ausdrückliche Einwilligung vorgenommen wurde.
Die Wirksamkeit der Einwilligungserklärung ist an einige Voraussetzungen gebunden.
Das Wichtigste auf einen Blick
- Die Einwilligung sorgt dafür, dass personenbezogene Daten rechtmäßig und DS-GVO-konform verwendet und verwertet werden können
- Art. 7 DS-GVO und Erwägungsgrund 32 regeln und konkretisieren die Einwilligungsanforderungen
- Damit die Einwilligung rechtmäßig ist, muss der Betroffene umfassend aufgeklärt worden sein
- Werden die Anforderungen der DS-GVO nicht erfüllt, so ist die Einwilligung unwirksam
- Erfolgt trotz unwirksamer Einwilligungserklärungen eine Datenverarbeitung, drohen hohe Bußgelder
1. Die Einwilligungserklärung
Liegt keine gesetzliche Grundlage vor, welche die Erhebung, Verarbeitung und Nutzung von Daten erlaubt, so muss vor der Datenverarbeitung eine Einwilligungserklärung eingeholt werden.
2. Die Form der Einwilligungserklärung
Die Einwilligungserklärung kann ausdrücklich und konkludent abgegeben werden. Schweigen ist jedoch keine wirksame Form der Einwilligung.
Da der Verantwortliche die Einwilligung des Betroffenen und die Aufklärung über die Datenverarbeitung dokumentieren und nachweisen muss, empfiehlt sich bei der Einholung die Schriftform.
Online ist es möglich, die Einwilligung durch Anklicken eines Kontrollkästchens einzufordern. Der Betroffene muss hierbei den Haken aktiv setzen. Diese Vorgehensweise nennt sich Opt-In-Verfahren.
Nicht möglich ist es, ein bereits vorangekreuztes Kästchen einzublenden (Opt-out-Verfahren).
Darüber hinaus kann die Einwilligung in Form des Double-Opt-In Verfahrens online eingeholt werden. Beim Double-Opt-In Verfahren muss erst ein Haken gesetzt und anschließend ein bereitgestellter Link angeklickt werden.
Solange sowohl im Opt-In-, als auch im Double-Opt-In-Verfahren die Einwilligung nachweisbar ist, können die Verfahren online genutzt werden.
3. Wann muss eine Einwilligung eingeholt werden?
Eine Einwilligung ist immer einzuholen, wenn kein gesetzlicher Erlaubnistatbestand erfüllt ist.
Besondere Voraussetzungen gelten bei der Einwilligung durch Minderjährige. Sie können erst ab dem Alter von 16 Jahren wirksam in die Verarbeitung ihrer personenbezogenen Daten einwilligen. Bis zu diesem Zeitpunkt ist die Genehmigung des gesetzlichen Vertreters erforderlich.
Wurde die Einwilligung vor der Geltung der DS-GVO (25. Mai 2018) wirksam eingeholt, so besteht diese fort.
Eine Generaleinwilligung gilt hingegen nicht, da sie den gesetzlichen Anforderungen nicht gerecht wird.
In der Praxis ist eine Einwilligung unter anderem in folgenden Fällen erforderlich:
- Längere Datenspeicherung als gesetzlich vorgesehen
- Verwendung von Mitarbeiterfotos und Benennung von Kontaktpersonen
- Veröffentlichung personenbezogener Daten, z.B. Rezensionen
- Nutzung von Tools (Cookies)auf Webseiten, z.B. Aktionen, Surfaktivität, Käufe und Einstellungen, IP-Adresse, geografische Standorte
4. Was muss in der Einwilligung enthalten sein?
Die Anforderungen an eine wirksame Einwilligung sind in Art. 7 DS-GVO und in Erwägungsgrund 32 zur DS-GVO geregelt.
4.1. Freiwilligkeit
Der Betroffene muss die Einwilligungserklärung freiwillig abgeben. Im Zeitpunkt der Abgabe muss er sich bewusst sein, dass er frei wählen kann ob er die Einwilligung erteilt, oder nicht.
Die betroffene Person ist die ganze Zeit über in der Position, die Einwilligung zu verweigern oder zurückzuziehen, ohne hierdurch einen Nachteil zu erleben.
Besonders zu untersuchen ist die Freiwilligkeit in Über- und Unterordnungsverhältnissen.
Die Abgabe der Einwilligung erfolgt nicht freiwillig, wenn die Erbringung einer Leistung von der Einwilligungserklärung abhängig gemacht wird.
Selbstverständlich ist die Freiwilligkeit auch bei Täuschung, Drohung oder sonstigem Zwang (z.B. sozialer Druck) nicht gegeben und die Erklärung damit unwirksam.
4.2. Eindeutigkeit
Eine Einwilligungserklärung muss eindeutig als solche erkennbar sein. Hilfreich ist es, die Einholung und die Abgabe der Erklärung in klarer, verständlicher Sprache zu formulieren, die für den Betroffenen verständlich ist.
4.3. Zweckgebundenheit
Die Einwilligung muss sich auf einen bestimmten Zweck beziehen, der dem Betroffenen erläutert wurde. Abweichungen sind nicht möglich.
Für unterschiedliche Zwecke sind gesonderte Einwilligungen nötig.
4.4. Informationspflicht
Die betroffene Person muss sich der Bedeutung und der Reichweite der Einwilligungserklärung bewusst sein.
Hierfür ist eine umfassende Information erforderlich, bei welcher der Betroffene über den Zweck und den Umfang der Datenverarbeitung, die mögliche Weitergabe an Dritte sowie seine Rechte aufgeklärt wird.
Die Betroffenheitsrechte beinhalten das Recht auf Auskunft, Löschung der Daten und Widerspruch der Verwendung. Außerdem besteht ein Beschwerderecht.
Die Information muss verständlich und in klarer, einfacher Sprache erfolgen.
Ihr Umfang ist einzelfallabhängig.
Es wird empfohlen, die Informationspflicht in Form einer umfassenden Datenschutzerklärung zu erfüllen.
4.5. Widerrufbarkeit
Erteilte Einwilligungen sind jederzeit für die Zukunft widerrufbar.
Nach Art. 7 Abs. 3 muss der Widerruf für den Betroffenen so einfach wie die Abgabe der Einwilligungserklärung sein.
5. Folgen einer unwirksamen Einwilligung
Sind die Voraussetzungen des Art. 7 DS-GVO nicht erfüllt, so ist die Einwilligungserklärung unwirksam. Sie kann damit keine Rechtsgrundlage für die Datenverarbeitung darstellen. Werden trotzdem personenbezogene Daten verarbeitet, so ist die Verarbeitung rechtswidrig.
Aufgrund des Fairness- und Transparenzgrundsatzes der DS-GVO darf bei einer unwirksamen Einwilligung auf keine andere Rechtsgrundlage zurückgegriffen werden.
Nach Art. 83 Abs. 5 lit. a) drohen bei Nichtbeachtung der Regelungen hohe Geldstrafen und Bußgelder.
6. Fazit
Eine wirksame Einwilligung ist an einige Voraussetzungen geknüpft. Die rechtlichen Vorgaben müssen eingehalten werden, damit die Datenverarbeitung nicht rechtswidrig erfolgt.
