fordern können und zugunsten eines Verantwortlichen, der solche angemessenen Anstrengungen unternimmt, von einer (ggf. fingierten) wirksamen Einwilligung ausgehen, solange er nicht positive Kenntnis von einer relevanten Falschangabe des Alters hat (siehe im Einzelnen Rn. 71 ff.).
2. Anforderungen an die Nachprüfung
52
Den Verantwortlichen treffen bezüglich der Einwilligung des Trägers der elterlichen Verantwortung Nachprüfungspflichten. Konkrete technische Überprüfungs- oder Verifikationsverfahren benennt die DS-GVO nicht. Art. 8 stellt jedoch die Pflichten des Verantwortlichen unter den Vorbehalt der Angemessenheit und der verfügbaren Technik.[69]
53
Art. 8 Abs. 2 verlangt (nur) angemessene Anstrengungen, die keine der auf Seiten des Verantwortlichen zu berücksichtigenden Gewährleistungen (namentlich Art. 15, 16, 17 GRCh) unverhältnismäßig einschränken.[70] Zur Beurteilung der Angemessenheit sind der finanzielle und organisatorische Aufwand des Verantwortlichen gegen Art, Umfang und Bedeutung der Datenverarbeitung abzuwägen.[71]
54
Hinsichtlich der verfügbaren Technik wird es darauf ankommen, welche technischen Möglichkeiten für die Vergewisserung der zutreffenden Autorisierung vorliegen.[72] Da sich die Technik fortlaufend entwickelt, sind die eingesetzten Überprüfungsmethoden kontinuierlich zu evaluieren und ggf. dem aktuellen Stand anzupassen.
55
Weiterhin wird bei der Frage der Bestimmung der erforderlichen Maßnahmen auch Art. 5 Abs. 1 lit. c zu berücksichtigen sein, wonach die Verarbeitung von personenbezogenen Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss (Grundsatz der Datenminimierung).[73]
56
Wie sich die Träger elterlicher Verantwortung praktikabel verifizieren lassen, ist von der Rechtspraxis zu beantworten (siehe Hinweise dazu bei Rn. 76 ff.). Die Norm verlangt Anstrengungen anzunehmen, doch dabei weiterhin dem Grundsatz der Verhältnismäßigkeit zu entsprechen.[74] Insbesondere besteht kein Register der Träger elterlicher Verantwortung, und es wäre auch unzumutbar und mit dem Grundsatz der Datenminimierung unvereinbar, ein solches aufbauen zu wollen.[75]
3. Nachweis- und Dokumentationspflicht
57
Abs. 2 verpflichtet den Verantwortlichen auch zur Dokumentation der erteilten Zustimmung. Daher ist Abs. 2 als eigener Rechtsgrund für die Erhebung von Daten der Träger elterlicher Verantwortung zu sehen.[76] Die Nachweispflicht folgt der generellen Rechenschaftspflicht gem. Art. 5 Abs. 2.
4. Rechtsfolgen
58
Die Rechtsfolgen einer fehlenden Dokumentation sind umstritten. Teilweise wird vertreten, dass die Rechtmäßigkeit oder Wirksamkeit der Einwilligung von der Erfüllung dieser Verpflichtung unabhängig sei; vielmehr diene die Vorschrift allein dem Verantwortlichen dahingehend, seiner Nachweispflicht hinsichtlich einer wirksamen Einwilligung nach Art. 7 Abs. 1 nachzukommen.[77]
59
Allerdings verpflichtet die Vorschrift den Verantwortlichen, einen Nachweis hinsichtlich einer wirksamen Einwilligung nach Art. 7 Abs. 1 beizubringen.[78] Als Teil der Anforderungen des Art. 8 führt auch eine Missachtung des Art. 8 Abs. 2 zur Unwirksamkeit der Einwilligung mit der Folge, dass die Datenverarbeitung rechtswidrig ist.[79]
60
Wenn sich die Verifikation trotz angemessener Anstrengungen später als fehlerhaft erweist, dürfte es ab dem Moment, in dem der Verantwortliche positive Kenntnis vom Fehlen der zunächst aufgrund angemessener Verifikationsanstrengungen angenommen Zustimmung hat, an der Rechtmäßigkeit der Datenverarbeitung gem. Art. 6 Abs. 1 lit. a fehlen.[80] Ein bloßer Verdacht oder ein abstraktes Für-möglich-halten genügt insoweit aber nicht, da sonst die ausdrücklich geregelte Beschränkung auf angemessene Anstrengungen unterlaufen werden würde.[81]
61
Als Teil der aus Art. 8 erwachsenden Pflichten kann eine Missachtung gem. Art. 83 Abs. 4 lit. a mit einem Bußgeld geahndet werden. Es ist sogar denkbar, einen solchen Verstoß aufgrund der kumulativen Anwendung mit Art. 7 als Verstoß gegen die Beachtung der Bedingungen einer Einwilligung gem. Art. 83 Abs. 5 lit. a zu ahnden.[82]
V. Fortgeltung des allgemeinen Vertragsrechts (Abs. 3)
62
Nach Art. 8 Abs. 3 bleibt das allgemeine Vertragsrecht der Mitgliedstaaten von der Regelung des Art. 8 unberührt. Die Regelung stellt damit klar, dass für andere Erklärungen als (datenschutzrechtliche) Einwilligungen das nationale Recht der Mitgliedstaaten (in Deutschland: §§ 104 ff. BGB) Anwendung findet.
63
Die DS-GVO nimmt damit Abweichungen zwischen Einwilligungsalter und (unbeschränkter) Geschäftsfähigkeit in Kauf und macht die datenschutzrechtliche Einwilligung nicht von der Geschäftsfähigkeit abhängig. Die mangelnde Kohärenz im Privatrecht innerhalb der EU schlägt hier unmittelbar auf das Datenschutzrecht durch, welches der Verordnungsgeber nicht abschließend genug geregelt hat, sodass das jeweilige nationale Zivilrecht konturierend Anwendung finden muss.
64
Umgekehrt führt die wirksame Einwilligung allerdings nicht automatisch zur Wirksamkeit eines Vertrages, der nach nationalem Recht unwirksam wäre. Die Wirksamkeit von (datenschutzrechtlicher) Einwilligung und der korrelierenden vertraglichen Vereinbarung sind unabhängig voneinander zu beurteilen (Trennungsprinzip).[83]
65
Gemäß Art. 8 Abs. 3 sind nur direkte Auswirkungen auf das Vertragsrecht ausdrücklich ausgeschlossen. Fraglich ist, welche Ausstrahlungswirkungen, auch über das Vertragsrecht hinaus, möglich sind. Die rechtliche Bewertung der einwilligenden Handlungen Minderjähriger in anderen Rechtsgebieten wie dem Strafrecht oder dem Persönlichkeitsrecht bleibt trotz des Art. 8 undeutlich.[84] Aufgrund des Anwendungsvorrangs der unmittelbar geltenden Verordnung kann Art. 8 Auswirkungen auch in anderen Rechtsbereichen haben. Gleichwohl bleibt die Anwendbarkeit der DS-GVO