c)Kein absolutes Kopplungsverbot46
e)Kopplung bei entgeltfreier Vertragsleistung?48, 49
f)Kopplung bei klarem Ungleichgewicht (ErwG 43)50, 51
8.Verhältnis zu § 13 Abs. 2 TMG und § 94 TKG52
Literatur:
Albrecht Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Art.-29-Datenschutzgruppe Guidelines on Consent und der Regulation 2016/679, WP 259 (Entwurf); Babaei-Beigi/Katko Accountability statt Einwilligung? – Führt Big Data zum Paradigmenwechsel im Datenschutz?, MMR 2014, 360; Buchner Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; DSK Kurzpapier Nr. 20, Einwilligung nach der DS-GVO, Stand Februar 2019; Engeler Das überschätzte Kopplungsverbot, ZD 2018, 55; Golland Das Kopplungsverbot in der Datenschutz-Grundverordnung, MMR 2018, 130; Heselhaus/Nowak Handbuch der Europäischen Grundrechte, 2006; Jarass Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016; Kamp/Rost Kritik an der Einwilligung – Ein Zwischenruf zu einer fiktiven Rechtsgrundlage in asymmetrischen Machtverhältnissen, DuD 2014, 80; Kotschy The proposal for a new General Data Protection Regulation – problems solved?, International Data Privacy Law 2014, 274; Radlanski Das Konzept der Einwilligung in der datenschutzrechtlichen Realität, 2016; Rogosch Die Einwilligung im Datenschutzrecht, 2013; Schantz Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Sloot International Data Privacy Law 2014, 307; Spelge Der Beschäftigtendatenschutz nach Wirksamwerden der Datenschutz-Grundverordnung (DS-GVO), DuD 2016, 775; Spindler Die neue EU-Datenschutz-Grundverordnung, DB 2016, 937; Thüsing/Schmidt/Forst Das Schriftformerfordernis der Einwilligung nach § 4a BDSG im Pendelblick zu Art. 7, RDV 2017, 116; Uecker Die Einwilligung im Datenschutzrecht und ihre Alternativen, ZD 2019, 248; Veil Einwilligung oder berechtigtes Interesse? – Datenverarbeitung zwischen Skylla und Charybdis, NJW 2018, 3337; Wendehorst/Graf von Westphalen Das Verhältnis zwischen Datenschutz-Grundverordnung und AGB-Recht, NJW 2016, 3745; Wybitul EU-Datenschutz-Grundverordnung in der Praxis – Was ändert sich durch das neue Datenschutzrecht?, BB 2016, 1077.
A. Einordnung und Hintergrund
1
Das Einverständnis des Betroffenen unterliegt kraft der DS-GVO höheren Anforderungen als noch in der DSRL[1]: Auch wenn eine Abkehr von dem Schriftformerfordernis gem. § 4a Abs. 1 S. 3 BDSG a.F. auszumachen ist, wechselt die Beweislast auf die Seite des Verantwortlichen.[2]
I. Art. 7 – Allgemein
2
Damit eine Verarbeitung personenbezogener Daten rechtmäßig ist, bedarf es einer Einwilligung der betroffenen Person oder einer sonstigen zulässigen Rechtsgrundlage. Jede Verarbeitung i.S.v. Art. 4 Nr. 3 stellt einen Grundrechtseingriff dar. Aus diesem Grund verlangt das Primärrecht in Art. 8 Abs. 2 S. 1 GRCh eine gesetzliche Grundlage samt der Bestimmung eines konkreten Zwecks als Rechtfertigung. Eine solche kann die Datenverarbeitung aber nur insofern legitimieren, sofern die Bedeutung der Zwecke das Gewicht des informationellen Selbstbestimmungsrechts des Betroffenen im konkreten Fall überwiegt. Alternativ dazu kann der Betroffene die Datenverarbeitung mittels Einwilligung legitimieren. Erfolgt die Datenverarbeitung nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person, liegt kein Eingriff in das Grundrecht auf informationelle Selbstbestimmung vor.[3]
3
Die Einwilligung selbst ist in Art. 4 Nr. 11 definiert. Als solche qualifiziert werden kann „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.
4
Art. 7 bestimmt die Bedingungen für die Einwilligung, welche gem. Art. 6 Abs. 1 lit. a die Rechtmäßigkeit der Verarbeitung begründen kann. Die DS-GVO trifft keine Wertung darüber, ob die gesetzliche Grundlage oder die Einwilligung der vorrangige Erlaubnistatbestand für eine Datenverarbeitung ist.[4] Für die Rechtsanwendung ist dieser Umstand auch völlig unerheblich.
5
Eine rechtmäßige Einwilligung sieht eine Nachweispflicht auf Seiten des Verantwortlichen vor (Art. 7 Abs. 1). Weitere Voraussetzungen sind sowohl die Freiwilligkeit (Art. 7 Abs. 4) als auch die Transparenz und Eigenständigkeit der Einwilligung (Art. 7 Abs. 2). Die Möglichkeit des Betroffenen, seine Einwilligung zu widerrufen (Art. 7 Abs. 3), lässt die offenkundige Zielsetzung der EU-Gesetzgeber erkennen, den Gebrauch von Einwilligungen als legitimierende Grundlage zur Verarbeitung einzuschränken.[5]
1. Art. 7 im Gesamtkontext der DS-GVO
6
Die Anforderungen an eine datenschutzrechtliche Einwilligung ergeben sich aus Art. 6 Abs. 1 lit. a i.V.m. Art. 7. Gem. Art. 6 Abs. 1 lit. a legitimiert eine Einwilligung die Verarbeitung personenbezogener Daten. Die Einwilligung muss nach der DS-GVO nicht mehr schriftlich erteilt werden; ausreichend ist nach der Definition in Art. 4 Nr. 11 vielmehr eine „[. . .] in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Ein stillschweigendes Einverständnis, standardmäßig angekreuzte Kästchen oder die Untätigkeit des Betroffenen stellen nach ErwG 32 keine Einwilligung dar.[6] Die Nachweisbarkeit der Abgabe der Einwilligungserklärung ist – wie bisher – durch die verantwortliche Stelle