dem zur Bereitstellung von Diensten mit Zusatznutzen erforderlichen Umfang und innerhalb des dafür erforderlichen Zeitraums verarbeitet werden, wenn sie anonymisiert wurden oder wenn der Nutzer vom Anbieter des Dienstes mit Zusatznutzen gemäß der DSGVO informiert wurde und er eingewilligt hat.17
11
Gemäß § 13 Abs. 1 Satz 4 TTDSG dürfen Standortdaten für einen Dienst mit Zusatznutzen, der die Übermittlung von Standortdaten eines Mobilfunkendgerätes an einen anderen Nutzer oder Dritte, die nicht Anbieter des Dienstes mit Zusatznutzen sind, zum Gegenstand hat, nur nach ausdrücklicher, gesonderter und schriftlicher Einwilligung des Nutzers gegenüber dem Anbieter des Dienstes mit Zusatznutzen verarbeitet werden.
12
§ 25 Abs. 1 TTDSG enthält nun das Einwilligungserfordernis in das Setzen von sog. (nicht technisch erforderlichen) Cookies. Danach „sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, (...) nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“.18
3. Regelungszweck
13
Die Bedeutung der Vorschrift liegt in der Konkretisierung der Anforderungen an eine Einwilligung als eines nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO vom Verordnungsgeber vorgesehenen Erlaubnistatbestands. In Verbindung mit Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO, der Definition der Einwilligung in Art. 4 Nr. 11 DSGVO und den ErwG 32f. und 42f. entsteht eine konkretere Vorstellung davon, unter welchen Umständen die DSGVO eine Einwilligung einer natürlichen Person in die Verarbeitung seiner personenbezogenen Daten, die ohne Einwilligung unzulässig wäre, als rechtlich wirksam ansieht.19
14
Bereits die Definition der Einwilligung formuliert „Anforderungen“ an eine Einwilligung, die durch die „Bedingungen“ aus Art. 7 DSGVO weiter konkretisiert werden. Danach muss die zur Einwilligung führende Willensbekundung „freiwillig für den bestimmten Fall“ und „in informierter Weise und unmissverständlich abgegeben“20 werden. Dies muss „in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“, geschehen. Ein (rechtzeitiges) Überbringen der Erklärung durch einen Boten ist möglich.21 Auch wenn die Einwilligung eine höchstpersönliche Erklärung ist, könne die Einwilligung wegen eines weiten Verständnisses vom Selbstbestimmungsrecht der betroffenen Person durch einen Stellvertreter erfolgen.22 Eine Stellvertretung komme dann in Betracht, wenn eine Vollmacht vorliege, aus der sich die ausdrückliche Entscheidung des Vertretenen ergibt, dass der Vertreter für bestimmte festgelegte Sachverhalte eine Einwilligungserklärung abgeben dürfe.23 Darüber wäre der Vertretene dann zu informieren, damit dieser ggf. von seinem Widerrufsrecht aus Art. 7 Abs. 4 DSGVO Gebrauch machen kann.24 Ob „Einwilligungsassistenten“ auf der Grundlage voreingestellter, an spezifische Bedingungen des Einwilligenden geknüpfte Einwilligungen automatisiert, wie bei einer Computererklärung im Fernabsatz, wirksam abgeben werden können, ist ungeklärt.25
15
Unter Berücksichtigung des Umstandes, dass es sich bei der Einwilligung im Lichte der Definition des Art. 4 Nr. 11 DSGVO um eine höchstpersönliche Erklärung handelt, bei der nur in Ausnahmefällen wie der in Art. 8 Abs. 1 Satz 2 DSGVO geregelten Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft für das Kind, das das 16. Lebensjahr noch nicht vollendet hat, die Einwilligung durch den Träger der elterlichen Verantwortung erfolgen kann, wird man der Zulässigkeit der Einwilligung durch einen Stellvertreter eher ablehnend gegenüberstehen müssen, weil der „Wille“, eine Einwilligung erteilen zu wollen, sich erst nach der detaillierten, aussagekräftigen Information über Zweck und Umfang der Datenverarbeitung bilden kann und eine sich darauf stützende Abwägung nicht pauschaliert werden kann, sondern im jeweiligen Einzelfall dem Erklärenden überlassen bleiben sollte.26 Auch der sog. Haushaltsvorstand oder der Hauptmieter einer Wohngemeinschaft wird nicht für Familienangehörige oder Mitbewohner eine Einwilligungserklärung abgeben können. Nach Grönemeyer geben Ehegatten nicht als Vertreter des anderen, aber doch eigene Einwilligungen ab, die im Rahmen der Geschäfte für den Lebensbedarf (§ 1357 Abs. 1 BGB) auch für den anderen wirken.27 Wenn personenbezogene Daten eines Betreuten beim Betreuer gespeichert werden sollen, kann sich der Betreuer die Einwilligung selbst erteilen, meint das AG Gießen.28 Anders sieht es das AG Altötting,29 das zwischen Betreuer und Betreutem kein „Gegenüberverhältnis“ sieht, weil der Betreuer nach der Konstruktion des Betreuungsrechts die Daten des Betreuten in dessen Namen verarbeitet. In einer weiteren Erwägung sieht das AG Altötting eine Erlaubnis der Datenverarbeitung durch den Betreuer dann nach Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO als gegeben an, weil der Betreuer mit der Datenverarbeitung einer rechtlichen Verpflichtung als Betreuer nach dem Betreuungsrecht folgt.
16
Anders als unter der DSRl überlässt die DSGVO es nicht mehr den Mitgliedstaaten, die Anforderungen an die Einwilligung auszugestalten, sondern harmonisiert die Anforderungen verbindlich für alle Mitgliedstaaten in der DSGVO. Gegenüber etwaigen (noch) bestehenden inhaltlichen und formalen Vorschriften in den Mitgliedstaaten beansprucht die DSGVO hier einen Anwendungsvorrang.
17
Die nähere Ausgestaltung der Anforderungen und Bedingungen der Einwilligungen beschränken die betroffenen einwilligungsbereiten Personen nicht in ihrem informationellen Selbstbestimmungsrecht. Art. 8 Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union gewährleistet, dass personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Das informationelle Selbstbestimmungsrecht ist auch als Grundrecht in der deutschen Verfassung gem. Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 2 GG verankert. Die Formulierung der Anforderungen und Bedingungen für eine Einwilligung schränkt die Möglichkeit zur Einwilligung nicht ein, sondern sichert sie, indem die betroffenen Personen in die Lage versetzt werden, die Einwilligung auf der Grundlage hinreichender Transparenz über den Zweck der Datenverarbeitung und die Folgen der Einwilligung ohne Druck und in Kenntnis der Bedeutung der Einwilligung zu erklären. Ohne Einverständnis bleibt die Datenverarbeitung aufgrund des Prinzips des Verbots der Datenverarbeitung mit Erlaubnisvorbehalt unzulässig. Durch die einfachgesetzliche Ausgestaltung durch die sich auf die Einwilligungsmöglichkeit beziehenden Vorschriften – wie die des Art. 7 DSGVO – wird das Grundrecht gewahrt und gestärkt (siehe Art. 6 Rn. 25).
18
Die Einwilligungserklärung kann unter Gesichtspunkten, die bei einer Interessenabwägung im Rahmen der Prüfung des gesetzlichen Erlaubnistatbestands nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO von einem objektiven Dritten berücksichtigt würden, den Interessen der betroffenen Person zuwiderlaufen. Dabei soll es bei einer Einwilligung aber gerade nicht ankommen. Es ist allein die subjektive Einschätzung und der zu respektierende Wille eines jeden Einzelnen, die Freiheit zu haben, selbst in eine persönlichkeitsgefährdende Anlage von Dossiers über sich einwilligen zu dürfen.
19
Diese weitgehende Freiheit gebietet es aber, dass dem Verantwortlichen, der eine Einwilligung einholt, Pflichten auferlegt und Bedingungen vorgegeben werden, damit der Akt der freien und aufgeklärten Selbstbestimmung zum Schutz der betroffenen Person garantiert ist. Essentialia dafür sind die Freiwilligkeit der Entscheidung, die Transparenz über alle entscheidungsrelevanten Informationen zum Zweck der Verarbeitung seiner Daten, die Ausdrücklichkeit der Erklärungshandlung und das Wissen über die Widerruflichkeit der Einwilligung. Diese mit Art. 7 DSGVO im Verbund mit den Art. 4 Nr. 11 und Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO sowie den ErwG 32f. und 42f. festzuschreiben, ist Zweck der Norm.
4. Normadressaten