„explizite Willensbekundung“ sein müsse; es bedürfte danach einer entsprechenden Erklärung oder sonstigen eindeutigen Handlung, aus der sich der Wille der betroffenen Person ergibt, dass sie der Verarbeitung der sich auf sie beziehenden Daten zustimmt. In Art. 7 lit. a DSRl war verlangt worden, dass die Erklärung „ohne jeden Zweifel“ eine Einwilligung erkennen lassen muss. Letztlich wurde die Formulierung verabschiedet, dass eine „unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“ vorliegen müsse.
43
Eine eindeutige Handlung wäre nach ErwG 32 auch das Anklicken einer Checkbox. Eine Einwilligung durch Schweigen oder Untätigkeit, etwa durch das Unterlassen des Entfernens eines voreingestellten Häkchens in einer Checkbox vor dem Text einer Einwilligungserklärung (opt-out), wäre nicht wirksam (siehe auch Art. 7 Rn. 33f., 38f.), weil damit keine „eindeutige bestätigende Handlung“ erfolgt.
d) Verarbeitung besonderer Kategorien personenbezogener Daten
44
Soll in eine Verarbeitung von besonderen Kategorien personenbezogener Daten, wie sie in Art. 9 Abs. 1 DSGVO aufgeführt sind, eingewilligt werden, so bedarf es einer „ausdrücklichen“ Einwilligung (Art. 9 Rn. 18). Auch die bei fehlender gesetzlicher Erlaubnis unzulässige automatisierte Entscheidung im Einzelfall (Art. 22 Abs. 1 DSGVO) kann mit einer „ausdrücklichen Einwilligung“ gemäß Art. 22 Abs. 2 lit. c DSGVO zulässig werden (Art. 22 Rn. 62ff.). Auch bei der möglicherweise mit besonderen Risiken verbundenen Übermittlung personenbezogener Daten in ein Drittland besteht für den Verantwortlichen die Möglichkeit, die Übermittlung bei Fehlen eines Angemessenheitsbeschlusses nach Art. 45 Abs. 3 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO auf eine Einwilligung zu stützen, die allerdings ebenfalls „ausdrücklich“ erfolgen muss. Art. 49 Abs. 1 lit. a DSGVO sieht als diesbezügliche Bedingung vor, dass „die betroffene Person ... in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt (hat), nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde“.
e) Zweckbindung
45
Die Einwilligung muss sich auf „einen oder mehrere bestimmte Zwecke“ beziehen (Bestimmtheitsgrundsatz). Insofern ist der Verantwortliche einer Zweckbindung unterworfen. Unzulässig sind demnach alle mit dem Ursprungszweck inkompatiblen Weiterverarbeitungen (Art. 6 Abs. 4 DSGVO), wenn für den neuen Zweck keine eigene Verarbeitungserlaubnis besteht. So dürfen durch eine Einwilligung erlangte Daten nicht für einen anderen Zweck ohne eine diese Zweckänderung legitimierende erweiternde Einwilligung verarbeitet werden (Art. 7 Rn. 140). Es können aber mehrere Zwecke verfolgt werden, in deren Verarbeitung durch eine umfassende Erklärung eingewilligt werden kann.
46
Eine Ausnahme bildet insofern nur die wissenschaftliche, speziell auch die klinische Forschung, bei der der Zweck bei der Einholung einer Einwilligung unter Umständen noch nicht präzise benannt werden kann. Daher sehen die DSGVO und das BDSG hier Privilegierungen vor, die nach § 27 BDSG auch dazu führen können, dass eine Einwilligung nicht eingeholt werden muss (näher dazu Art. 7 Rn. 138, Art. 9 und § 27 BDSG Rn. 4); die Erlaubnis ergibt sich dann aus § 27 BDSG. Wenn eine Einwilligung eingeholt wird, muss der konkrete Forschungszweck nicht genannt werden; die Angabe des wissenschaftlichen Forschungsbereiches genügt in diesen Fällen. Die Notwendigkeit der Privilegierung erkennt auch der ErwG 33 an, weil der Zweck der Datenverarbeitung, in die gem. Art. 9 Abs. 2 lit. a DSGVO eingewilligt werden soll, „zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden“ kann. Dabei muss die Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung gesichert sein (siehe dazu Art. 7 Rn. 139ff., insbes. Rn. 148). Die Öffnungsklausel für die privilegierende wissenschaftliche und historische Forschung und für die Verarbeitung zu statistischen Zwecken findet sich in Art. 9 Abs. 2 lit. j DSGVO.
f) Weitere Erlaubnis bei Einwilligungswiderruf
47
Umstritten ist, ob im Fall des Widerrufs einer Einwilligung vom Verantwortlichen eine gesetzliche Erlaubnis wie die aus Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO geltend gemacht werden darf, wenn dafür die Tatbestandsvoraussetzungen erfüllt sind. Dagegen wird vorgebracht, dass die Berufung auf einen gesetzlichen Erlaubnistatbestand im Fall einer Einwilligung gegen Treu und Glauben verstoßen würde. Die betroffene Person würde bei einem Widerruf der Einwilligung davon ausgehen, dass sie es im Sinne eines informationellen Selbstbestimmungsrechts in der Hand habe, über die Rechtmäßigkeit der Datenverarbeitung zu entscheiden. Wer im Glauben, allein durch seine Einwilligung den Weg für eine Verarbeitung der sich auf ihn beziehenden Daten freizumachen, sähe sich getäuscht, wenn im Fall des Widerrufs auf eine gesetzliche Erlaubnis Bezug genommen würde.66 Ein solches Verhalten verstieße gegen Treu und Glauben (§ 242 BGB, venire contra factum proprium)67 und würde zu einer Rechtsverwirkung führen. Würde die betroffene Person beim Einholen einer Einwilligung nicht darauf hingewiesen, dass es neben der Einwilligung auch eine gesetzliche Erlaubnis für die Verarbeitung ihrer Daten gäbe, sei das Verhalten „in sich widersprüchlich und damit unzulässig“.68
48
Der Grundsatz von Treu und Glauben wird in der Tat von Art. 5 Abs. 1 lit. a DSGVO als ein die DSGVO prägender Grundsatz hervorgehoben. Gleichwohl greift ein Rückgriffsverbot nicht, weil nicht das subjektive Empfinden in die Wirksamkeit eines Einwilligungswiderrufs maßgeblich sein kann, sondern die von der Rechtsordnung gedeckte Erlaubnis.69 Bei Wegfall der Einwilligung als Erlaubnis für die Datenverarbeitung aufgrund eines Widerrufs oder wegen Unwirksamkeit darf durchaus auf eine gesetzliche Erlaubnis abgestellt werden, sodass der Verantwortliche zur Löschung der Daten, deren Verarbeitung sich (auch) auf eine Einwilligung stützt, nicht verpflichtet ist, soweit die gesetzliche Erlaubnis die Verarbeitung der betreffenden Daten und den Umfang der Datenverarbeitung abdeckt. Eine Löschungsverpflichtung besteht – was die hier vertretene Ansicht stützt – nach dem insoweit klaren Wortlaut des Art. 17 Abs. 1 lit. b DSGVO bei Widerruf einer Einwilligung nur, wenn es „an einer anderweitigen Rechtsgrundlage“ für die Verarbeitung fehlt (siehe Rn. 21).70 Die betroffene Person darf nicht in Unkenntnis gelassen werden, auf welcher Rechtsgrundlage ihre Daten verarbeitet werden; sie ist entsprechend zu informieren, wenn der Rückgriff auf eine gesetzliche Erlaubnis erfolgt. Sollte die Datenverarbeitung auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützt werden, müsste der Verantwortliche den Widerruf der Einwilligung zudem als Widerspruch in die Datenverarbeitung deuten und prüfen, ob das damit zum Ausdruck gebrachte Interesse der betroffenen Person daran, dass die von ihr bezeichneten Daten nicht (mehr) verarbeitet werden, höher wiegt als sein eigenes berechtigtes Interesse an der Verarbeitung.71
49
Außerdem ist beachtlich, dass es in Art. 6 Abs. 1 DSGVO heißt, dass die Verarbeitung nur rechtmäßig ist, „wenn mindestens eine der nachfolgenden Bedingungen erfüllt ist“. Es wird keine Einschränkung dahingehend vorgenommen, dass neben einer Erlaubnis nach Buchstabe a nicht auch eine nach Buchstabe f vorliegen kann. Daraus lässt sich schließen, dass neben der Einwilligung gemäß Buchstabe a auch einer der weiteren Erlaubnistatbestände zur Erlaubnis führen kann.72
50
Aus Treu und Glauben könnte sich aber eine Pflicht des Verantwortlichen ergeben, bei Vorliegen und in Kenntnis eines gesetzlichen Erlaubnistatbestands nicht zusätzlich um eine Einwilligung zu bitten. In der Tat sollte die Einwilligung nicht eingeholt werden, wenn eine gesetzliche Erlaubnis vorliegt, weil der Betroffene es kaum nachvollziehen könnte, wenn der Verantwortliche bei einem Widerruf seiner Einwilligung auf eine bestehende gesetzliche Erlaubnis verweisen und die Datenverwendung wegen einer „Subsidiarität der Einwilligung“73 fortsetzen