wie dem Mausklick (Anklicken eines Kästchens in Gestalt einer Checkbox auf einer Internetseite) oder der Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft, erkennt aber gleichzeitig andere, auch konkludente Einwilligungen durch Verhaltensweisen im jeweiligen Kontext an, mit denen eindeutig ein Einverständnis signalisiert wird. Untätigkeit, Stillschweigen oder bereits angekreuzte Checkboxen sollen dagegen nicht genügen.387
aa) Opt-out vs. Opt-in
249
Aus Erwägungsgrund 32 S. 3 zur DSGVO wird teilweise gefolgert, dass „Optout“-Formulare, in denen vorformulierte Einverständniserklärungen bei Nichtzustimmung aktiv gestrichen oder bereits angekreuzte Checkboxen deaktiviert werden müssen, an sich nicht die Anforderungen an wirksame Einwilligungen erfüllen können.388 Selbst die Betätigung einer Schaltfläche zur Teilnahme an einem Online-Gewinnspiel in Ansehung eines voreingestellten Ankreuzkästchens für die Speicherung von Cookies stellt nach Ansicht des EuGH keine wirksame Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO dar. Es fehle in dieser Konstellation an der erforderlichen aktiven, eindeutigen und unmissverständlichen Handlung, mit der der Betroffene sein Einverständnis gerade auch für den konkreten Fall der Cookie-Speicherung zum Ausdruck bringt.389 Unklar bleibe nämlich, ob der Betroffene das vorangekreuzte Kästchen überhaupt wahrgenommen hat, bevor er seine Aktivität auf der von ihm besuchten Website fortsetzte.390 Hieraus wird zum Teil geschlossen,391 dass der EuGH der Ansicht des Europäischen Datenschutzausschusses folge, wonach jegliche konkludenten oder impliziten Verhaltensweisen wie das einfache Fortfahren mit einer Dienstleistung oder die Weiternutzung einer Website generell keine wirksame Einwilligung begründen könnten.392 Richtig ist, dass das bloße Bestehenlassen einer voraktivierten Checkbox ebenso wenig wie alle anderen Formen der kompletten Untätigkeit als eindeutige Willensbekundung angesehen werden können. Andererseits darf bei der Normenauslegung nicht außer Acht gelassen werden, dass sich der Verordnungsgeber ganz bewusst dagegen entschieden hat, Einwilligungen nur noch in ausdrücklicher Form zu akzeptieren. Ausdrücklich ist eine Einwilligung, wenn sie mittels einer positiv bejahenden Handlung unmittelbar und spezifisch das Einverständnis zum Ausdruck bringt („Opt-in“).393
250
Vor diesem Hintergrund ist im Sinne von Erwägungsgrund 32 S. 3 zur DSGVO „in dem jeweiligen Kontext“ auch bei zu deaktivierenden Voreinstellungen eine Verhaltensweise denkbar, die eine eindeutige mittelbare Zustimmung mit der Verarbeitung personenbezogener Daten signalisiert, nämlich wenn das Passieren solcher bereits angekreuzter Kästchen nicht mit Untätigkeit, sondern mit einer eindeutigen Handlung verbunden ist.394 Dies kann im jeweiligen Kontext auch nur die Betätigung einer Schaltfläche mit weiterem Erklärungsgehalt sein, jedenfalls soweit die damit gleichzeitig zu erteilende Einwilligung in dieser Form besonders hervorgehoben und direkt oberhalb der Schaltfläche platziert ist, so dass der betroffenen Person unzweifelhaft klar sein muss, dass sie ohne Opt-out auch die Verarbeitung ihrer personenbezogenen Daten akzeptiert, sobald sie die Schaltfläche betätigt.395 Denn dass eine Einwilligung in die Datenverarbeitung und die Willensbekundung in Bezug auf einen anderen Gegenstand wie etwa der Zustimmung zur Teilnahme an einem Gewinnspiel grundsätzlich Teil derselben Handlung sein können, wird von Art. 7 Abs. 2 S. 1 DSGVO klar und eindeutig vorausgesetzt. Diese Bestimmung übersieht Generalanwalt Szpunar, wenn er in seinen Schlussanträgen in der EuGH-Rechtssache „Planet49“ rechtsirrig pauschal das Gegenteil konstatiert.396 Fraglich ist, ob der EuGH in seinem Urteil dem gleichen Irrtum unterliegt397 und für konkludente Einwilligungen entgegen Art. 7 Abs. 2 S. 1 DSGVO in der Folge kein Anwendungsbereich verbliebe398 oder ob die Ausführungen des Gerichts DSGVO-konform dahingehend auszulegen sind, dass eine implizite Cookie-Einwilligung durch Betätigung einer Gewinnspielteilnahmeschaltfläche lediglich im entschiedenen Einzelfall nicht in Frage kam.399 Für Letzteres spricht, dass der EuGH die im „Planet49“-Urteil womöglich übersehene Bestimmung des Art. 7 Abs. 2 S. 1 DSGVO in einer nachfolgenden Entscheidung400 zu einer vorangekreuzten Einwilligung angewendet und damit gleichzeitig anerkannt hat, dass Einwilligungen jedenfalls im Grundsatz durch Handlungen zum Ausdruck gebracht werden können, die auch andere Erklärungsinhalte haben. Bei der praktischen Umsetzung dieser Rechtsprechung darf jedoch nicht außer Acht gelassen werden, dass der EuGH in diesen Konstellationen die Anforderungen an den Nachweis der Einwilligung derart überhöht, dass er faktisch kaum zu führen sein wird.401 Die Österreichische Datenschutzbehörde hält Aktionen mit Doppelfunktion wie die Unterschrift eines Vertrages, der eine Einwilligungsklausel enthält, generell nicht für unmissverständlich.402
Praxishinweis
Auch wenn von der Verordnung jenseits der geregelten Ausnahmefälle403 eine ausdrückliche Einwilligung nicht verlangt wird, empfiehlt es sich in der Praxis, vorsorglich ohne Ausnahme auf Opt-in zu setzen. Nur auf diese Weise lässt sich einer Diskussion über die Unmissverständlichkeit der Willensbekundung und damit dem Risiko der Unwirksamkeit der Einwilligung von vornherein aus dem Weg gehen.
bb) Besondere Formerfordernisse bei elektronischer Einholung
251
Bei elektronischer Einholung der Einwilligung, also etwa auf einer Internetseite, muss die „Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgen“.404 Sie kann „für“ in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf erbrachte Dienstleistungen („Dienste der Informationsgesellschaft“)405 auch durch Auswahl technischer Einstellungen gegeben werden.406
252
Unklar ist, welcher praktisch relevante Anwendungsfall in Betracht kommt, wenn von einer Einwilligung „für“ einen Dienst die Rede ist. Die Formulierungen legen nahe, dass die Koppelung eines Dienstes mit einer Einwilligung in die Verarbeitung personenbezogener Daten gemeint ist. Wenn die Datenverarbeitung für den Dienst aber erforderlich ist, bleibt für eine Einwilligung angesichts der bereits gegebenen Erlaubnis nach Art. 6 Abs. 1b und der Anforderungen an Koppelungen gemäß Art. 7 Abs. 2 und Erwägungsgrund S. 2 Alt. 2 DSGVO wenig Raum.407
253
Mehr praktische Relevanz hat Erwägungsgrund 32 S. 6 zur DSGVO, wenn man ihn teleologisch dergestalt interpretiert, dass im Rahmen der Zustimmung zur Nutzung eines Dienstes, etwa beim Aufruf einer Internetseite oder Bestellung einer App, dieser Dienst nicht unnötig unterbrochen werden darf und technische Einstellungen ausreichen, um eine Einwilligung für andere Zwecke als die Diensterbringung einzuholen, z.B. für das Setzen von Retargeting-Cookies zu Werbezwecken. Als Beispiel für unnötige Unterbrechungen könnten in diesem Sinne Pop-up Fenster angesehen werden.408 Dies jedenfalls dann, wenn sie den Nutzer zu einer Entscheidung zwingen, ohne die eine Fortsetzung des Dienstes nicht möglich oder wesentlich erschwert ist.
Praxishinweis
Wer in der Praxis vor die Wahl gestellt ist, entweder Zweifel an der Eindeutigkeit einer elektronisch abgefragten Einwilligung in Kauf zu nehmen oder einen Dienst wie eine Website zu unterbrechen, sollte sich für Letzteres entscheiden. Denn zum einen handelt es sich bei dem Verbot unnötiger Unterbrechungen nur um einen rechtlich unverbindlichen Erwägungsgrund.409 Und zum zweiten lässt sich mit dem Europäischen Datenschutzausschuss sehr gut argumentieren, dass es sich nicht um eine „unnötige Unterbrechung“ handelt, wenn damit die Wirksamkeit der Aufforderung zur Einwilligungserteilung sichergestellt wird.410 Bei einer Website sollte ein Einwilligungs-Banner jedoch nicht den Zugriff auf das Impressum und die Datenschutzhinweise blockieren.411
254
Eine Einwilligung durch Auswahl technischer Einstellungen412 kommt nur in Betracht, wenn die betroffene Person aktiv eine Auswahl trifft,