vor.[16] Die Einwilligung bleibt daher ein entscheidender Grundpfeiler des Datenschutzes.[17]
2. Beweislast
19
Die Regelung der Beweislast in Art. 7 Abs. 1 ist eindeutig: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Die Wahl des entsprechenden Tempus spiegelt wider, dass die Einwilligung vor der eigentlichen Verarbeitung eingeholt sein muss, um die Rechtmäßigkeit dieser Verarbeitung zu begründen. Die Zuweisung der Beweislast hin zum Verantwortlichen steht im Licht der grundsätzlich bei der Verarbeitung personenbezogener Daten bestehenden Rechenschaftspflicht (Art. 5 Abs. 2).
20
In welcher Form der Nachweis von Seiten der verantwortlichen Stelle im Streitfall zu leisten ist, definiert Art. 7 nicht eindeutig. Mit der Dokumentation der Einwilligung weist der Verantwortliche die Rechtmäßigkeit nach, weswegen eine schriftliche oder textliche Einwilligung ratsam erscheint. Sie entspricht einer „Willensbekundung in Form einer Erklärung“[18] am besten. Gleichwohl ist eine mündliche Erklärung vom Betroffenen ebenfalls als zulässige Einwilligung qualifizierbar.[19] In diesem Fall wird die Beweislast für den Verantwortlichen jedoch zur Herausforderung. Trotz der Fokussierung auf die Nachweisfunktion wird mit Art. 7 Abs. 1 eine Beweislastpflicht implementiert, ohne dass eine Einwilligung allein aufgrund mangelnder Schriftlichkeit unwirksam ist.[20] In der Regel dürfte es für den Verantwortlichen ausreichend sein, Nachweise vorzuhalten, die den Prozess der Einholung der Einwilligung im Einklang mit den gesetzlichen Vorgaben dokumentieren.[21] Daneben sollten für die jeweilige Einwilligung die Umstände der Einholung dokumentiert werden, etwa der Zeitstempel der Einwilligung oder ein Double-Opt-In.[22] Gerade bei Diensten von Informationsgesellschaften ist die Nutzung sogenannter Consent Management Plattformen empfehlenswert, die entsprechende Schnittstellen zu gängigen Customer Relationship Systemen (CRM) vorsehen.
21
Aus den Regelungen der Verordnung ergibt sich nicht, dass eine einmal erteilte Einwilligung allein durch das Verstreichen eines langen Zeitraums unwirksam werden kann. Eine einmal erteilte Einwilligung kann auch nach erheblichem Zeitablauf dem Beweis dienen. Eine „Auffrischung“ der Einwilligung ist nicht notwendig, von der Verordnung nicht vorgesehen und in der Praxis nicht handhabbar.[23]
3. Informiertheit und Transparenz
22
Die Einwilligung muss neben spezifischen Anforderungen wie bspw. bei der Einwilligung von Minderjährigen grundsätzlich den Anforderungen aus der Legaldefinition (Art. 4 Nr. 11), dem Legitimationstatbestand zur Einwilligung (Art. 6 Abs. 1 lit. a) und den Bedingungen für die Einwilligung (Art. 7) genügen. Dazu zählt insbesondere, dass die Einwilligung vom Betroffenen gem. Art. 4 Nr. 11 „in informierter Weise“ zu erfolgen hat. Das in Art. 5 Abs. 1 lit. a formulierte Transparenzgebot gilt in der Konsequenz auch für die Einwilligung. Dazu muss der Betroffene die wesentlichen Umstände der Datenverarbeitung, wie die Identität des Verantwortlichen und die Zwecke der Datenverarbeitung, kennen.[24] Insofern ist der Begriff der Transparenz eng mit dem der Vorhersehbarkeit der Datenverarbeitung verzahnt.[25] Vollständige Informationen sind die Voraussetzung dafür, dass der Betroffene sein Recht auf informationelle Selbstbestimmung legitimierend ausüben kann.[26]
23
Nach Auffassung der Art.-29-Datenschutzgruppe und des EuGH ist von Informiertheit des Betroffenen dann auszugehen, wenn dem Betroffenen die folgenden Informationen vor Erteilung der Einwilligung verfügbar gemacht werden:[27]
| – | die Identität des für die Verarbeitung Verantwortlichen, |
| – | den Zweck jeder Verarbeitung, für die eine Einwilligung verlangt wird, |
| – | welche Art von Daten gesammelt und verwendet werden, |
| – | das Bestehen des Widerrufsrechts, |
| – | Informationen über die Verwendung der Daten für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung basieren, einschließlich Profiling gem. Art. 22 Abs. 2, |
| – | wenn die Zustimmung Übertragungen betrifft, über die möglichen Risiken von Datenübertragungen in Drittstaaten in Ermangelung einer Angemessenheitsentscheidung und angemessener Garantien (Art. 49 Abs. 1 lit. a). |
24
Bei gemeinsam für die Verarbeitung Verantwortlichen bzw. Dritten als Empfänger von personenbezogenen Daten aufgrund einer Einwilligung müssen diese Parteien ebenfalls vor Erteilung der Einwilligung genannt werden.[28] Der EuGH sieht zudem das Erfordernis, die Dauer der Speicherung anzugeben, was sich indirekt aus Art. 13 Abs. 2 lit. a ergäbe.[29] Dies dürfte jedoch nur als allgemeiner Verweis auf die generell geltenden Informationspflichten nach Art. 12 ff. zu verstehen sein.
a) Transparenz
25
Die schriftliche Einwilligung unterliegt dem Erfordernis der Transparenz in besonderer Weise, sofern die Einwilligung noch andere Sachverhalte betrifft. Als Beispiel ist die datenschutzrechtliche Einwilligung innerhalb Allgemeiner Geschäftsbedingungen denkbar.[30] Bei Abgabe einer schriftlichen Erklärung in anderer Sache soll die Einwilligung nach ErwG 42 in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden. Im Sinne des Grundsatzes der Transparenz[31] ist sowohl der für die Verarbeitung Verantwortliche, als auch der Zweck zu benennen, um die auf einen bestimmten Zweck beschränkte Einwilligung zu erteilen.
b) Hervorhebung
26
Neben der Transparenz soll die Hervorhebung i.S.v. Art. 7 Abs. 2 gewährleisten, dass die Einwilligung für bestimmte Zwecke von den anderen Sachverhalten klar zu unterscheiden ist.
aa) Gestalterisch
27
Damit eine Einwilligung, die zusammen mit anderen Erklärungen schriftlich erteilt wird, für den Betroffenen leicht ersichtlich wird, fordert Art. 7 Abs. 2 S. 1 eine gestalterische Transparenz.[32] Die genaue Ausgestaltung gibt die DS-GVO hingegen nicht vor, weswegen dies Aufgabe der Rechtsanwendung sein wird. Teleologisch verlangt die Bestimmung, dass das Ersuchen um die Einwilligung nicht mehr zu übersehen ist. Es lässt sich vertreten, dass dafür bereits ein eigener Absatz