target="_blank" rel="nofollow" href="#ulink_ece3ab49-0839-575b-95ed-ac0d3407a61f">76
I. Allgemeines
1. Bedeutung der Norm
1
Die Einwilligung in die Verarbeitung personenbezogener Daten stellt keinen Grundrechtsverzicht, sondern eine Grundrechtsausübung dar (Art. 8 Abs. 2 GRCh, Schutz personenbezogener Daten; Art. 21 Abs. 1 i.V.m. Art. 1 Abs. 1 GG, Recht auf informationelle Selbstbestimmung).1 Auch das 1983 in Deutschland mit dem Volkszählungsurteil des BVerfG2 aus dem Allgemeinen Persönlichkeitsrecht entwickelte „Recht auf informationelle Selbstbestimmung“ ist nicht nur Abwehrrecht gegen hoheitliche Eingriffe in die Grundrechte, sondern es beinhaltet auch eine objektive Schutzpflicht des Staates, „Bedrohungen grundrechtlich gesicherter Freiheiten von privater Seite“ entgegenzutreten.3 Mit der in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO vorgesehenen Einwilligung, eine Erlaubnis in die Verarbeitung der personenbezogenen Daten zu schaffen, wird dieses Selbstbestimmungsrecht einfachgesetzlich zum Ausdruck gebracht. Art. 8 GRCh gewährleistet mit Absatz 1, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Schon die Grundrechtecharta bestimmt in Art. 8 Abs. 2 GRCh, dass diese Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Die (widerrufliche) Einwilligung ist das klassische, verfassungsrechtlich legitimierte Instrument zur Gestattung von Eingriffen in persönliche Interessen und Güter (siehe Rn. 17 und Art. 6 Rn. 24).4
2
Für das Datenschutzrecht hat die Einwilligung eine überragende Bedeutung. Bereits ErwG 30 der DSRl erwähnte die Einwilligung vor allen anderen Erlaubnistatbeständen: „Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn sie auf der Einwilligung der betroffenen Person beruht ...“. Auch die DSGVO nennt in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO die Einwilligung weiterhin als ersten Erlaubnistatbestand. Das Informationelle Selbstbestimmungsrecht räumt jeder betroffenen Person das Recht ein, selbst zu bestimmen, wer ihre personenbezogenen Daten zu welchem Zweck verarbeiten darf. Selbst solche Verarbeitungen, die für die Persönlichkeitsrechte als besonders riskant angesehen werden, wie die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 2 lit. a DSGVO), sind bei ausdrücklich erteilter Einwilligung zulässig. Auch die Datenübermittlung in ein Drittland ohne angemessenes Datenschutzniveau ist mit einer ausdrücklichen Einwilligung der betroffenen Person zulässig (Art. 49 Abs. 1 lit. a DSGVO). Eingewilligt werden kann auch in die Verarbeitung personenbezogener Daten für Zwecke des personalisierten Direktmarketings und der Werbeansprache über E-Mail und Telefon.5
3
Voraussetzung der wirksamen Einwilligung ist, dass die in Art. 7 Abs. 1–4 DSGVO in Verbindung mit Art. 4 Nr. 11 und Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO aufgeführten Anforderungen und Bedingungen (Grundsätze) beachtet werden. Die Nichtbeachtung einer Anforderung führt zur Rechtswidrigkeit der Verarbeitung.6
2. Entstehungsgeschichte
4
Art. 7 lit. a DSRl hatte die Mitgliedstaaten zu einer gesetzlichen Regelung verpflichtet, die vorsieht, dass die Verarbeitung personenbezogener Daten erfolgen darf, wenn die betroffene Person ohne jeden Zweifel darin ihre Einwilligung gibt. Art. 2 lit. h DSRl definierte die „Einwilligung der betroffenen Person“ als „jede Willensbekundung, die ohne Zwang für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“. § 4a BDSG a.F. als zentraler Norm der Wirksamkeitsanforderungen setzte diese Anforderungen an Einwilligungen in nationales Recht um.
5
Ein direktes „Vorbild“ für Art. 7 DSGVO findet sich in der DSRl nicht. Art. 7 DSGVO greift in Verbindung mit Art. 6 Abs. 1 UAbs. 1 lit. a und Art. 4 Nr. 11 DSGVO die Anforderungen auf, die sich aus der Auslegung der DSRl ergaben und nun ausdrücklich als Grundsätze der wirksamen Einwilligung normativ festgelegt werden. Die sich aus Art. 7 Abs. 1 DSGVO ergebende Nachweispflicht findet sich in Art. 7 lit. a DSRl nur insoweit wieder, als es dort heißt, dass die Einwilligung „ohne jeden Zweifel“ erteilt worden sein muss. Den Nachweis dafür hat nach der allgemeinen materiellen Beweislastverteilung derjenige zu erbringen, der sich auf das Vorliegen der Einwilligung beruft.7 Art. 7 Abs. 1 DSGVO betont diese Nachweispflicht, was der Philosophie des die Accountability regelnden Art. 5 Abs. 2 DSGVO entspricht. Mit dem Nachweis bleibt die Beweisfunktion erhalten, die nach dem Fortfall des für den Regelfall vorgesehenen Schriftformerfordernisses aus § 4a Abs. 1 Satz 3 BDSG a.F. von Bedeutung ist; der Übereilungsschutz und die Warnfunktion mögen dagegen künftig eine geringere Rolle spielen, was durch das Widerrufsrecht einen Ausgleich findet.8
6
An der herausragenden Bedeutung der zweckgebundenen Einwilligung der betroffenen Person hält die DSGVO fest, indem sie die Einwilligung als ersten Erlaubnistatbestand in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO nennt.9 Werden Daten für verschiedene Zwecke verarbeitet, muss für jeden Zweck eine eigene informierte Einwilligung eingeholt und dokumentiert werden.10 Eine pauschale Einwilligung in „die Datenverarbeitung“ ist unzulässig.11
7
Nach früher geltendem Recht musste die Einwilligungserklärung jederzeit abrufbar sein (§ 28 Abs. 3a BDSG a.F.). Auch § 13 Abs. 2 Nr. 3 TMG a.F. sah eine solche jederzeitige Abrufbarkeit vor.12 Diese Anforderung ist von der DSGVO nicht übernommen worden. Das in Art. 7 Abs. 4 DSGVO enthaltene sog. Kopplungsverbot war bis zur ersatzlosen Streichung 2009 als allgemeines Prinzip in § 12 Abs. 3 TMG a.F. ausdrücklich auch für die Datenverarbeitung von Bestands- und Verkehrsdaten durch Telemedien normiert worden.13
8
Die Datenschutzvorschriften des TMG a.F. und des TKG a.F. sind nun mit dem Art. 1 des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) zusammengeführt worden.14 Im TMG a.F. wurde der Abschnitt 5 (Datenschutz) aufgehoben. Das TKG wurde durch Art. 1 des Telekommunikationsmodernisierungsgesetzes neu gefasst.15
9
Nach § 9 Abs. 2 Satz 1 und 3 TTDSG dürfen teilnehmerbezogene Verkehrsdaten und die zielnummernbezogene Verwendung von Verkehrsdaten nur nach Einwilligung gemäß DSGVO verarbeitet werden.16
10