der Reihenfolge der Buchstaben a bis f eine Rangfolge der Erlaubnistatbestände ablesen,36 zumal für nicht-öffentliche Verantwortliche neben dem Erlaubnistatbestand aus Buchstabe b (Vorvertragliche Maßnahmen; zur Vertragserfüllung) die Erlaubnis nach einer Interessenabwägung gemäß Buchstabe f von herausragender Bedeutung sein dürfte. Dieser Erlaubnistatbestand der Interessenabwägung wird auch als Generalklausel37 bezeichnet und der Vorzug vor einer Einwilligungslösung gegeben, zumal die Einwilligung jederzeit widerrufbar ist. Gleichwohl sollte aus der Relevanz der Norm keine Rangfolge abgeleitet werden.
25
Das bislang aus dem Allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) abgeleitete und nun auch aus Art. 8 GRCh folgende Datenschutzgrundrecht (Informationelles Selbstbestimmungsrecht) gewährleistet dem Einzelnen ein umfassendes Selbstbestimmungsrecht darüber, wer welche Daten über ihn zu welchem Zweck erhalten soll.38 Art. 8 Abs. 2 Satz 1 GRCh betont, dass jeder über den Umgang mit personenbezogenen Daten selbst bestimmt und in die Datenverarbeitung einwilligen kann. Die Einwilligung ist daher ein „zentrales Instrument“ des Schutzes der Persönlichkeit. Es ist nicht zu verkennen, dass die Grundrechtsträger gemeinschaftsgebundene Individuen sind. Das Bundesverfassungsgericht hatte deshalb bereits im Volkszählungsurteil39 hervorgehoben, dass dieses Selbstbestimmungsrecht nicht schrankenlos gewährt wird, sondern auch ohne Einwilligung aufgrund einer verfassungsmäßigen gesetzlichen Erlaubnis personenbezogene Daten verarbeitet werden dürfen (Rn. 26).
26
Eine schrankenlose Selbstbestimmung des Betroffenen mit einer uneingeschränkten Verfügung über seine personenbezogenen Daten im öffentlichen und nicht-öffentlichen Bereich gibt es nicht. Auch das Recht auf informationelle Selbstbestimmung wird nicht schrankenlos gewährt. Das BVerfG hob dies in seinem Volkszählungsurteil hervor und betonte, dass der Einzelne kein Recht im Sinne einer absoluten, unbeschränkbaren Herrschaft über „seine“ Daten hat, sondern dieser vielmehr eine sich innerhalb der sozialen Gemeinschaft entfaltende, auf Kommunikation angewiesene Persönlichkeit sei. Information, auch soweit sie personenbezogen ist, stelle ein Abbild sozialer Realität dar, das nicht ausschließlich dem Betroffenen allein zugeordnet werden könne.40 Im Sinne der Gemeinschaftsbezogenheit und Gemeinschaftsgebundenheit der Person müsse daher der Einzelne Einschränkungen seines Rechts auf informationelle Selbstbestimmung im überwiegenden Allgemeininteresse hinnehmen.
27
Mit dieser Einschränkung umfasst der Grundrechtsschutz die Befugnis des Einzelnen, über die Preisgabe und Verwendung seiner persönlichen Daten selbst zu bestimmen. Die Erteilung einer Einwilligung erweist sich so als Grundrechtsausübung und nicht etwa als Grundrechtsverzicht. Mit Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO und der darin vorgesehenen Möglichkeit, durch Einwilligung eine Erlaubnis in die Verarbeitung der personenbezogenen Daten zu schaffen, wird dieses Selbstbestimmungsrecht zum Ausdruck gebracht (Art. 7 Rn. 1).
28
Der europäische Gesetzgeber und – im Rahmen der Öffnungsklauseln und ihrer Regulierungskompetenz – die mitgliedstaatlichen Gesetzgeber dürfen daher auch aus verfassungsrechtlicher Perspektive im Lichte des Art. 8 GRCh abwägen, ob datenschutzrechtliche Erlaubnistatbestände im überwiegenden Allgemeininteresse oder im objektiven Eigeninteresse der betroffenen Person auch eine Verarbeitung ohne Einwilligung der betroffenen Person zulassen dürfen. Wenn keine Erlaubnis aufgrund eines Gesetzes besteht, kann die Einwilligung als weitere Möglichkeit zur Legitimation einer Verarbeitung eingeholt werden. Die Datenethikkommission sieht in der datenschutzrechtlichen Einwilligung „einen zentralen Mechanismus zur Gewährleistung informationeller Selbstbestimmung im digitalen und analogen Bereich“.41
29
Die Einwilligung setzt die selbstbestimmte, freie Entscheidung der betroffenen Person voraus, ob sie personenbezogene Daten über sich zur Verfügung stellen will und welche Daten zu welchem Zweck und an welchem Verarbeitungsort verarbeitet werden dürfen. So kann die Einwilligung in die Verarbeitung eingeschränkt, von Bedingungen abhängig gemacht oder befristet werden.
a) Einwilligungsfähigkeit
30
Eine Einwilligung kann nur von solchen betroffenen Personen erteilt werden, die die erforderliche Einsichtsfähigkeit besitzen. Nur dann, wenn eine Einwilligung von einem Kind gefordert wird, das das 16. Lebensjahr noch nicht vollendet hat, und zudem die Einwilligungserklärung gegenüber einem Dienst der Informationsgesellschaft abgegeben werden soll, der ein Angebot (auch) einem Kind gegenüber macht, so sind die Anforderungen aus Art. 8 DSGVO zu beachten (Art. 8 Rn. 13ff.).42 Ist das nicht der Fall, findet Art. 8 DSGVO mit der Folge keine Anwendung, dass eine Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a i.V.m. Art. 7 DSGVO einzuholen ist oder sich die Erlaubnis nach einer das Alter des Kindes berücksichtigenden Abwägung gem. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO ergibt.43
31
Werden Daten von Kindern nicht von einem Dienst der Informationsgesellschaft verarbeitet, kommt es auf die Einsichtsfähigkeit an. Volljährigkeit ist nicht Voraussetzung. Die Einsichtsfähigkeit hinsichtlich möglicher Folgen einer Datenverarbeitung kann bei 16 Jahre alten Jugendlichen angenommen werden. Bei Jüngeren ist sie im Einzelfall der bezweckten Verarbeitung – also nicht gesondert im Fall eines betroffenen Jugendlichen – festzustellen. Im Einzelfall kann auch hinterfragt werden, ob die Einsichtsfähigkeit im hohen Alter noch besteht;44 hier wäre der Anknüpfungspunkt in sehr seltenen Fällen dann aber das Individuum, wobei zu bedenken ist, dass von Verantwortlichen häufig weder das Alter erfragt wird, noch die individuelle Einsichtsfähigkeit prüfbar ist.
b) Freiwilligkeit
32
Die Einwilligung erfordert gemäß Art. 4 Nr. 11 DSGVO eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ (siehe auch Art. 4 Rn. 302). Freiwillig erfolgt die Einwilligungserklärung, wenn sie ohne jeden Zwang oder Druck abgegeben wurde und die betroffene Person bei einer Verweigerung der Einwilligung oder einen Widerruf keine Nachteile befürchten muss (Art. 7 Rn. 88ff.).45 Sachwidrige Kopplungen der Einwilligung mit anderen Erklärungen sind deshalb unzulässig (Art. 7 Rn. 94ff.).
33
Eine Freiwilligkeit läge auch dann nicht vor, wenn zwar nicht vom Verantwortlichen, sondern von Dritten ein gesellschaftlicher Druck ausgeübt würde, der sich zu einem sozialen Zwang ausweiten könnte. So wurde erwogen, ob die „Publicity Kampagne“ zur Nutzung der Corona-Warn-App (CWA) zu einer „faktischen sozialen Ächtung“ führen könnte, wenn die CWA nicht heruntergeladen würde.46 Würde man eine solche Zwangssituation bejahen, würde sie die Freiwilligkeit aufheben. Einen so starken Druck gab und gibt es bei der CWA allerdings nicht, sondern es wird vielmehr öffentlich stets auf die Freiwilligkeit der Nutzung hingewiesen. Auch Arbeitgeber dürfen die Nutzung der CWA nicht verlangen oder gar zur Voraussetzung für ein Betreten des Arbeitsplatzes machen. Im Übrigen findet bei einem Herunterladen einer App – abgesehen von den einem App Store bei der Installation übermittelten Daten – noch keine Datenverarbeitung statt, deren Rechtmäßigkeit einer Einwilligung bedürfte. Eine Datenverarbeitung durch die CWA auf der Grundlage einer Einwilligung wäre allenfalls bei einer Infektionsmeldung zu prüfen.47
34
Die Frage nach der Freiwilligkeit stellt sich eher bei der Luca-App, die der besseren Nachverfolgung der Covid19-Infektionskette dienen soll; weil die Nutzung der App als Voraussetzung für das Betreten von Geschäften, Gastronomiebetrieben und Freizeiteinrichtungen gemacht wird, ist der Druck erheblich größer, eine Einwilligung zu erteilen,