Text ist zweifelsfrei mit der gebotenen Hervorhebung vereinbar, aber wohl nicht notwendig.[34]
bb) Inhaltlich
28
Die gestalterische Anforderung tritt jedoch hinter die inhaltlichen, aber teilweise sich damit überschneidenden Vorgaben nach Art. 7 Abs. 2 S. 1 zurück. Maßgeblich für die Rechtmäßigkeit der Einwilligung ist, dass das Ersuchen um die Einwilligung mit einer eindeutig bestätigenden Handlung Annahme findet. Es kommt nur darauf an, dass aus dem Handeln des Betroffenen unmissverständlich erkennbar wird, in welche konkrete Datenverarbeitung er einwilligt. Damit lässt sich diese nicht in einem Gesamttext (Vertrag, Allgemeine Geschäftsbedingungen o.Ä.) integrieren, wo sie vom Betroffenen übersehen werden könnte.[35] Im Ergebnis muss die Abgabe einer schriftlichen Erklärung in anderer Sache „hinreichend deutlich“[36] sein – sowohl optisch, als auch vor allem inhaltlich.
c) Rechtsfolge bei Verstoß (Art. 7 Abs. 2 S. 2)
29
Als Folge für Verstöße gegen die Regelungen der DS-GVO innerhalb einer Erklärung, verlieren die unzulässigen Teile ihre rechtliche Verbindlichkeit. In der Konsequenz behalten die rechtskonformen Teile der Erklärungen ihre Geltung. Eine geltungserhaltende Reduktion hinsichtlich des Ersuchens der Einwilligung scheidet aus, weil die Wirksamkeitsvoraussetzungen alternativlos zu erfüllen sind.[37]
5. Form
30
Bei der Einwilligung handelt es sich um eine „unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“[38]. Art. 7 Abs. 2 S. 1 normiert dafür keine generellen Formvorgaben.[39] Für die Rechtsanwendung dieses zentralen Legitimationstatbestands ist die praktische Ausgestaltung jedoch von hoher Relevanz und bedarf zur Erfüllung der Rechtmäßigkeit einer Verarbeitung personenbezogener Daten entsprechender Rechtssicherheit.[40]
a) Kein Schriftformerfordernis
31
Ein Schriftformerfordernis enthält die DS-GVO definitiv nicht. Die ausdrückliche Einwilligung kann demzufolge auch elektronisch oder mündlich erklärt werden.[41] Der Formfreiheit steht die Beweispflicht für das Vorliegen einer Einwilligung gegenüber. In der Regel und vor allem bei erheblichen Gefährdungen für das Persönlichkeitsrecht des Betroffenen wird die schriftliche und deswegen am besten dokumentierbare Einwilligungserklärung – auch zum Schutz vor zivilrechtlicher Haftung – zu präferieren sein.[42]
32
Zum Hintergrund für die Abkehr vom Schriftformerfordernis: Entscheidender als die Form war in den Verhandlungen, ob eine Einwilligung ausdrücklich erteilt werden muss.[43] Für eine rechtmäßige Einwilligung muss immer eine „eindeutig positiv bejahende Handlung“ vorliegen.[44]
b) Einwilligungserklärungen bei Einholung auf elektronischem Wege
33
Gerade im digitalen Zeitalter sind die elektronischen Möglichkeiten von hoher praktischer Relevanz. Den Verzicht auf ein Schriftformerfordernis signalisiert die Einwilligung durch das Anklicken eines Kästchens beim Besuch einer Internetseite.[45] Ebenfalls denkbar ist die eindeutige Auswahl in den technischen Einstellungen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten ausdrückt.[46] Allerdings ist eine eindeutige Willensbekundung in Frage zu stellen, wenn schon die Werkseinstellungen des Browsers das Setzen von Cookies oder die Verarbeitung personenbezogener Daten erlauben (vertiefend hierzu Art. 4 Nr. 11 Rn. 214 ff.).[47]
34
Eine zu beachtende Pflicht ist noch ergänzend in ErwG 32 S. 6 formuliert: „Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes.“ Dieses Gebot, welches an den ErwG 42 S. 3 („in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“) erinnert, stellt wohl aber nur eine unverbindliche, weil praktisch nicht zwangsweise durchsetzbare Zielvorgabe dar. Dem Verantwortlichen ist schließlich zur rechtssicheren Einwilligung zu raten, bei der die Form sich nicht immer dem Pragmatismus beugen kann (zur Einwilligungsgestaltung im elektronischen Datenverkehr auch Art. 4 Nr. 11 Rn. 213 ff.). Zwar muss der Verantwortliche der betroffenen Person eine Möglichkeit bieten, ohne Abgabe einer Einwilligung fortzufahren und z.B. eine Webseite zu nutzen. Nicht erforderlich ist es, eine ausdrückliche „Ja/Nein“-Auswahl anzubieten. Vielmehr genügt es, wenn der Betroffene klar erkennen kann, dass etwa die Verweigerung einer Einwilligung leicht möglich ist, z.B. durch Auswahl einer Schaltfläche mit der Beschriftung „weitere Informationen“ o.Ä., aus der die betroffene Person entnehmen kann, dass sie durch diese Auswahl gerade keine Einwilligung erteilt.
c) Verständliche und leicht zugängliche Form sowie klare und einfache Sprache
35
Im Sinne der den Datenschutz kennzeichnenden Transparenz ist die Einwilligungserklärung „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“[48] zu verfassen. Dieses Gebot gilt nicht nur im Fall des Art. 7 Abs. 1 bei Abgabe einer schriftlichen Erklärung in anderer Sache, sondern im Allgemeinen.[49] Auch hier wird der Rechtssicherheit Vorzug zu geben sein, da ein Verstoß[50] gegen dieses Gebot nicht zur Unzulässigkeit der Verarbeitung führen kann.
d) Konkludente Einwilligung und ihre Grenzen
36
Eine rechtmäßige Einwilligung kann nach Abkehr vom Schriftformerfordernis bereits durch eine eindeutige bestätigende Handlung erfolgen.[51] Damit ist eine wirksame Einwilligung bereits durch schlüssiges Verhalten (konkludente Einwilligung) möglich.[52]
37
Die Grenze, ab welcher die Einwilligung keine Rechtmäßigkeit mehr i.S.d. Art. 6 Abs. 1 lit. a begründet, beginnt spätestens beim Stillschweigen. Auch bereits angekreuzte Kästchen oder die bloße Untätigkeit der betroffenen Person stellt nach ErwG 32 keine Einwilligung dar (zur Eignung voreingestellter Ankreuzkästchen beim Setzen von Cookies Art. 4 Nr. 11 Rn. 214 ff.). Die Abgrenzung einer Einwilligung durch konkludentes Verhalten von bloßer Untätigkeit wird in der Praxis Schwierigkeiten bereiten.[53] Für die Rechtsanwendung wird die Eindeutigkeit der bestätigenden Handlung der Maßstab für die Wirksamkeit der Einwilligung.[54] Zur Sicherstellung der notwendigen Nachweisbarkeit einer Einwilligung empfiehlt es sich, technisch sicherzustellen, dass die bestätigende Handlung nur eine Deutungsmöglichkeit zulässt. Je geringer die Anforderung des Verantwortlichen an die bestätigende Handlung der betroffenen Person sind, desto höher sind die Anforderungen an die Transparenz.
a) Freie Widerrufbarkeit
38