der zusätzlich zur Verfügung gestellten Informationen durch die betroffene Person verlangt. 359 Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 23, die zudem eine Pflicht des Verantwortlichen annimmt, der betroffenen Person, soweit dies möglich ist, die Angaben mitzuteilen, die für eine Identifizierung erforderlich sind. 360 Auch das Recht des Verantwortlichen nach Art. 12 Abs. 2 S. 2 DSGVO, die Betroffenenrechte gem. Art. 15–22 DSGVO zu verweigern, ist aufgrund der ausdrücklichen Bezugnahme auf Art. 11 Abs. 2 DSGVO und damit auch auf dessen S. 2 in diesem Fall ausgeschlossen. 361 Taeger/Gabel/Nolde, Art. 11 DSGVO Rn. 24. 362 Siehe zu nationalen Regelungen in Deutschland z.B. BeckOK-DS/Stender-Vorwachs, Art. 85 DSGVO Rn. 33ff.; Kühling/Buchner/Buchner/Tinnefeld, Art. 85 Rn. 31ff. 363 Siehe zu nationalen Regelungen in Deutschland z.B. BeckOK-DS/Schiedermair, Art. 86 DSGVO Rn. 7ff.; Kühling/Buchner/Herbst, Art. 87 DSGVO Rn. 21. 364 Siehe zu nationalen Regelungen in Deutschland z.B. BeckOK-DS/v. Lewinski, Art. 87 DSGVO Rn. 53ff.; Kühling/Buchner/Weichert, Art. 87 Rn. 22f. 365 Siehe hierzu ausführlich Kap. 15. Siehe für weitere nationale Regelungen in Deutschland z.B. Kühling/Buchner/Maschmann, Art. 88 Rn. 76ff. 366 Siehe hierzu ausführlich Kap. 15. 367 Kühling/Buchner/Buchner/Tinnefeld, Art. 89 DSGVO Rn. 1. Siehe hierzu auch die Ausführungen in Kap. 17 Rn. 317ff. Siehe zu nationalen Regelungen in Deutschland z.B. Kühling/Buchner/Buchner/Tinnefeld, Art. 89 DSGVO Rn. 28ff. 368 Siehe ausführlich hierzu Kap. 16 Rn. 87ff.
III. Einwilligung der Betroffenen
243
Die Einwilligung ist ein wesentlicher Aspekt des Grundrechts auf Schutz personenbezogener Daten. Gemäß Art. 8 Abs. 2 S. 1 der Charta der Grundrechte der Europäischen Union dürfen personenbezogene Daten nur „... mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“. Unter den Rechtsgrundlagen für die Verarbeitung personenbezogener Daten in der DSGVO ist die Einwilligung sicherlich diejenige, auf die im Rahmen des Gesetzgebungsverfahrens das größte Augenmerk gerichtet wurde.369
1. Überblick über die einschlägigen Regelungen
244
Welche Bedeutung der Verordnungsgeber der Einwilligung als Erlaubnis für die Datenverarbeitung beigemessen hat, zeigt sich am vergleichsweise großen Regelungsumfang des Konzepts der Einwilligung mit
– einer grundlegenden Definition in Art. 4 Nr. 11 DSGVO,
– einer Erwähnung im Katalog der Grundlagen für rechtmäßige Verarbeitungen in Art. 6 Abs. 1a DSGVO,
– weiteren allgemeinen Bedingungen in Art. 7 DSGVO,
– detaillierten Erläuterungen zur zulässigen Art und Weise der Erteilung in den Erwägungsgründen 32, 42 und 43,
– einer Übergangsbestimmung für Alt-Einwilligungen in Erwägungsgrund 171,
– zusätzlichen Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft in Art. 8 DSGVO (Erwägungsgrund 38) und
– besonderen Anforderungen bei der Erteilung zum Zweck der Verarbeitung besonderer Kategorien personenbezogener Daten in Art. 9 Abs. 2a DSGVO, zum Zweck der ausschließlich auf einer automatisierten Entscheidung beruhenden Verarbeitung in Art. 22 Abs. 2c DSGVO und zum Zweck der Übermittlung in Drittländer in Art. 49 Abs. 1a DSGVO.
245
In der Systematik des Art. 6 Abs. 1 DSGVO nimmt die Einwilligung im Verhältnis zu den anderen genannten Legitimationsgrundlagen allerdings keine höherrangige, sondern eine gleichrangige Stellung ein.370
246
Spezielle Vorschriften zur Einwilligung im Rahmen elektronischer Kommunikation, u.a. zum Zwecke der Direktwerbung371 und beim Web Tracking/Einsatz von Cookies bzw. anderen Retargeting-Technologien,372 finden sich in der ePrivacy-Richtlinie 2002/58/EG.373 Die ins jeweilige nationale Recht transformierten Regelungen der ePrivacy-Richtlinie sollen künftig durch eine in der EU unmittelbar geltende ePrivacy-Verordnung ersetzt werden, die der DSGVO vorgeht. Das ePrivacy-Verordnungsgebungsverfahren auf Basis des ersten Entwurfs der EU-Kommission374 ist jedoch an einer Einigung auf eine gemeinsame Position im EU-Rat gescheitert.375 Zuletzt erwies sich im November 2020 ein Neuentwurf der deutschen Ratspräsidentschaft als nicht konsensfähig zwischen den EU-Mitgliedstaaten.376 Eine Öffnung für bereichsspezifische Bestimmungen der Mitgliedstaaten zur Datenverarbeitung im Beschäftigungskontext enthält § 88 DSGVO.
Nationale Regelungen in Deutschland
246a
Die Bestimmungen der ePrivacy-Richtlinie 2002/58/EG sind im deutschen Recht aktuell umgesetzt durch die §§ 91ff. TKG und zum Teil auch in den §§ 12ff. TMG sowie in § 7 Abs. 2 Nr. 2ff. UWG. Während § 7 Abs. 2 Nr. 2 und 3 UWG unverständlicherweise377 bislang nicht an die DSGVO angepasst wurden,378 will der deutsche Gesetzgeber die Datenschutz-Regelungen im TKG und TMG noch novellieren und nicht mehr auf eine in der EU einheitlich geltende ePrivacy-Regelung warten.379 Dabei soll auch das vom EuGH380 beanstandete Versäumnis der nicht ordnungsgemäßen Transformation des Einwilligungserfordernisses des Art. 5 Abs. 3 S. 1 der ePrivacy-Richtlinie 2002/58/EG in der Fassung 2009/136/EG für die Speicherung von bzw. den Zugriff auf Informationen im Endgerät eines Teilnehmers/Nutzers korrigiert werden. Die ungenügende Umsetzung hatte in Deutschland dazu geführt, dass die Aufsichtsbehörden den TMG-Datenschutz für unbeachtlich erklärten und stattdessen die DSGVO anwendeten.381 Sonderregelungen zur Einwilligung im Beschäftigungsverhältnis befinden sich in § 26 Abs. 2 und Abs. 3 BDSG.
2. Allgemeine Voraussetzungen der Einwilligung
247
In Art. 4 Nr. 11 DSGVO wird die Einwilligung definiert als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Damit unterscheiden sich die allgemeinen Anforderungen an eine Einwilligung für die Verarbeitung personenbezogener Daten in der DSGVO nicht wesentlich von jenen ihrer Vorgängerregelung.382 Insbesondere konnte sich die Forderung der EU-Kommission und des Europäischen Parlaments nach einer Verschärfung der Einwilligungsvoraussetzungen dahingehend, dass die Willensbekundung nicht nur für die Verarbeitung sensibler Daten,383 die Unterwerfung unter automatisierte Entscheidungen im Einzelfall384 und für die Datenübermittlung in Drittländer,385 sondern stets „ausdrücklich“ zu erfolgen habe, in den Trilog-Verhandlungen nicht durchsetzen.386
a) Form der Willensbekundung
248
Erforderlich ist eine Erklärung oder eine sonstige eindeutige bestätigende Handlung, die das Einverständnis der betroffenen Person mit der Datenverarbeitung unmissverständlich zum Ausdruck bringt. Ein besonderes Formerfordernis besteht