nach einem anderen Erlaubnistatbestand rechtmäßig ist (siehe Art. 7 Rn. 27).
51
Bei einer Information der betroffenen Person über die beabsichtigte Datenverarbeitung sollte deshalb nicht der Eindruck erweckt werden, die Verarbeitung würde allein von der Zustimmung der betroffenen Person abhängen, wenn das nicht der Fall ist. Diese Gefahr könnte bestehen, wenn die betroffenen Personen – was in der bisherigen Datenschutzpraxis verbreitet war – durch Unterschrift bestätigen sollen, dass sie die Datenschutzgrundsätze zur Kenntnis genommen haben und mit ihr einverstanden sind. Eine solche (überflüssige) Einverständniserklärung könnte zu dem unzutreffenden Eindruck führen, die Zulässigkeit der Datenverarbeitung von dem mit der Unterschrift dokumentierten Einverständnis abhängig gemacht zu haben. Überhaupt ist dem Verantwortlichen davon abzuraten, eine Einwilligung einzuholen, wenn eine gesetzliche Erlaubnis vorliegt (Rn. 42).75 Eine Einwilligung sollte nicht eingeholt werden, wenn die Verarbeitung darauf gestützt werden kann, dass sie zur Erfüllung einer rechtlichen Pflicht erforderlich ist (lit. c) oder dass damit lebenswichtige Interessen geschützt werden (lit. d); die (zusätzliche) Einholung einer Einwilligung sollte besonders in diesen Fällen unterbleiben.
52
Irrtümer in der Praxis: Von Unkenntnis zeugt die Einholung der (schriftlichen) Einwilligung bei über tausend Mietern durch eine Hausverwaltung – auf Anraten eines externen Datenschutzbeauftragten –, um Handwerker weiterhin mit Reparaturen beauftragen zu können, wofür die Einwilligung in die Weitergabe der Kontaktdaten der Mieter an die Handwerker erforderlich sei. Bedenken ruft der Text der Einwilligungserklärung hervor, wenn als Zweck ausdrücklich angegeben wird: „Durchführung und Abwicklung des Vertragsverhältnisses“ und die Mieter auf ihr „Widerspruchsrecht“ hingewiesen werden, bei dessen Wahrnehmung es keine Nachteile geben würde, aber dann Probleme bei der Beauftragung von Handwerkern entstehen könnten. Derartige Sachverhalte zeugen von Rechtsunsicherheit oder Rechtsunkenntnis selbst bei (in diesem Fall aus der Praxis: zertifizierten) Beratern. Richtig wäre es, bei notwendigen Reparaturmaßnahmen Daten der Mietpartei an den Handwerker auf der Grundlage von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO zu übermitteln;76 immerhin gehört es zu seinen vertraglichen Hauptpflichten nach § 535 Abs. 1 BGB, die Mietsache in einem gebrauchsfähigen Zustand zu erhalten. Dafür ist die Datenweitergabe auch erforderlich. Auch Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO wäre eine taugliche Rechtsgrundlage,77 zumal nicht davon ausgegangen werden kann, dass die Mieter entgegenstehende Interessen an der Weitergabe der Daten zum ausschließlichen Zweck der Vornahme einer Handwerkerleistung beim Mieter haben könnten. Weil bei Inanspruchnahme dieser gesetzlichen Erlaubnis allerdings weitergehende Informationspflichten bestehen (formal der Hinweis auf das Widerspruchsrecht), ist der Weg über Buchstabe b zu empfehlen. Über §§ 27ff. WEG kann sich auch der Hausverwalter auf diese Erlaubnistatbestände berufen.
53
Allerdings könnte es aufgrund eines Widerrufs zu einer Neubewertung der gesetzlichen Erlaubnisnorm führen, wenn die Erlaubnis sich auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO stützt. Bei diesem Erlaubnistatbestand geht es um die Abwägung der berechtigten Interessen des Verantwortlichen mit den Interessen der betroffenen Person. Wenn diese auf ein Ersuchen des Verantwortlichen, dessen Verarbeitung auch gem. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO zulässig ist, eine Einwilligung erteilt hatte, bringt der Widerruf der Einwilligung zum Ausdruck, dass die Verarbeitung nicht gewünscht und dementsprechend im Widerspruch zu den Interessen der betroffenen Person steht. Mit dem Widerruf hat der Betroffene also sein gegenüber dem berechtigten Interesse des Verantwortlichen an der Datenverarbeitung entgegenstehendes Interesse zum Ausdruck gebracht. Wird auf diese Weise eine Interessenverletzung zum Ausdruck gebracht, besteht für den Verantwortlichen zwingend die Pflicht zur Neubewertung. Bei dieser Abwägung dürften dann die Interessen der betroffenen Person gegenüber denen des Verantwortlichen nicht überwiegen, um auf der Grundlage der gesetzlichen Erlaubnis nach Buchstabe b die Verarbeitung fortsetzen zu dürfen.
g) Weitere Anforderungen an die Wirksamkeit der Einwilligung
54
Wird die Verarbeitungserlaubnis auf eine Einwilligung gestützt, muss die betroffene Person vom Verantwortlichen darüber vorher so umfassend informiert worden sein, dass sie die Risiken einer Einwilligung bewerten kann (informed consent, siehe Rn. 37). Außerdem sind die weiteren Anforderungen an die Wirksamkeit der Einwilligung aus Art. 4 Nr. 11 und Art. 7 DSGVO zu beachten (siehe Art. 7 Rn. 37ff.). Die Einwilligung muss sich auf jede der vorgesehenen Verarbeitungsphasen (Art. 4 Nr. 2 DSGVO) beziehen und den Zweck der Verarbeitung benennen. Dabei ist eine pauschale Einwilligung in die Datenerhebung und beliebige Verwendung unwirksam (Art. 7 Rn. 31, 135). Ist der beabsichtigte Zweck erfüllt78 oder ist die in einer Einwilligung als Bedingung genannte Frist abgelaufen, darf eine weitere Datenverarbeitung nicht mehr auf die Einwilligung gestützt werden. Eine einmal erteilte Einwilligung erlischt aber nicht durch Zeitablauf (Art. 7 Rn. 76).79 Wurde eine Einwilligung von einem Erziehungsberechtigten für das minderjährige Kind erteilt, bedarf es dann, wenn die Daten über das Kind auch nach Eintritt der Volljährigkeit weiter genutzt werden sollen, der Einwilligung der nun volljährigen betroffenen Person. In einem vom LG Frankfurt entschiedenen Fall ging es darum, dass ein Foto einer 16-jährigen 19 Jahre später erneut veröffentlicht werden sollte und dies auf die ursprüngliche Einwilligung des Vaters in die Erstveröffentlichung gestützt wurde.80 Zwar handelte es sich im Verfahren um eine Einwilligung in die Veröffentlichung eines Fotos gem. § 22 Abs. 1 Satz 1 KUG; die Erwägungen des LG Frankfurt/M. sind aber auf eine Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO übertragbar.81 Wenn das OLG Frankfurt im Berufungsverfahren die Neuveröffentlichung dennoch zuließ, dann deswegen, weil es das Foto als Dokument der Zeitgeschichte einstufte.82
55
Eine Einwilligung, bei der die vorgenannten Anforderungen nicht beachtet werden, ist unwirksam. Fehlt es dem Verantwortlichen an einem Erlaubnistatbestand, der eine konkrete Verarbeitung für einen festgelegten Zweck legitimiert, so ist die Verarbeitung rechtswidrig.83 Ohne Rechtsgrundlage sind die rechtswidrig verarbeiteten Daten zu löschen. Wurde die Einwilligung allerdings vor Wirksamwerden der DSGVO erteilt und damit nicht alle nach der DSGVO zu erfüllenden Anforderungen beachtet, soll der Verantwortliche die Möglichkeit haben, die Einwilligung nun DSGVO-konform einzuholen, ohne dass die bereits gespeicherten Daten gelöscht werden müssten.84 Die Berliner Beauftragte für den Datenschutz hatte bei einer Überprüfung der neu eingeführten elektronischen Gesundheitsakte festgestellt, dass nicht für alle Funktionalitäten des Systems jeweils eine separat abzugebende Einwilligung vorlag und auch nicht für die kontinuierlich neu hinzukommenden Features. Sie räumte den Verantwortlichen ein, dem Mangel nach Information der betroffenen Personen über die neuen Funktionalitäten durch ergänzende Einwilligungen abzuhelfen.85 Es empfiehlt sich nach dieser von der Aufsichtsbehörde aufgezeigten Möglichkeit der „Heilung“ von Mängeln, im Einzelfall, ggf. nach einer Rückversicherung bei der Aufsichtsbehörde, zu prüfen, ob entgegen der Regel eine nachträgliche Einwilligung datenschutzrechtskonform eingeholt werden kann, um den Datenbestand zu retten.86 Bis eine Einwilligung vorliegt, sollte die Nutzung der Daten der jeweils betroffenen Person nicht fortgesetzt werden.
2. Vertrag und vorvertragliche Verarbeitung (lit. b)
56
Die Anbahnung, Erfüllung, Abwicklung und Beendigung von Vertragsverhältnissen kann die Verarbeitung personenbezogener Daten erforderlich machen. Bei alltäglichen Einkäufen im Supermarkt, auf dem Wochenmarkt, beim Bäcker oder Blumenhändler werden personenbezogene Daten des Kunden regelmäßig nicht erfasst oder, beispielsweise bei der Vorbestellung von Waren im Ladengeschäft unter Angabe eines Namens, nicht elektronisch verarbeitet. Anders sieht es bei Beschäftigungsverhältnissen, bei Online-Verträgen, beim Fernabsatz, beim Kauf auf Rechnung, bei Telekommunikationsverträgen und vielen anderen Verträgen aus, bei der die Verarbeitung personenbezogener Daten erforderlich ist. Eine Interessenabwägung ist nicht vorzunehmen,87 weil es allein auf die objektive Feststellung der Erforderlichkeit ankommt.