Nachweis des Vorliegens einer Einwilligung hat der Verantwortliche (Art. 4 Nr. 7 DSGVO) zu erbringen. Er ist es, der generell nach Art. 5 Abs. 2 DSGVO nachweisen muss, dass die Anforderungen aus der DSGVO bei der Verarbeitung personenbezogener Daten eingehalten werden (Rechenschaftspflicht/Accountability). Die Verarbeitung von Daten ohne gesetzliche Erlaubnis und ohne Einwilligung würde nicht „auf rechtmäßige Weise“ im Sinne von Art. 5 Abs. 1 lit. a DSGVO erfolgen. Beruft sich der Verantwortliche auf die Rechtmäßigkeit der Verarbeitung, muss er, soweit keine gesetzliche Erlaubnis erkennbar ist, den Nachweis der erfolgten wirksamen Einwilligung gem. den sich aus Art. 4 Nr. 11 und Art. 7 DSGVO ergebenden Bedingungen erbringen.
21
Adressat der Vorschrift sind sowohl der Verantwortliche aus dem öffentlichen wie aus dem nicht-öffentlichen Bereich. Allerdings wird sich im öffentlichen Bereich nur sehr bedingt eine Verarbeitung personenbezogener Daten auf eine Einwilligung stützen können,30 jedenfalls nicht zur Erfüllung der hoheitlichen Aufgaben.31 Denkbar sind Einwilligungslösungen allenfalls im Rahmen der Öffentlichkeitsarbeit, wenn um Aufnahme in den Verteiler von Pressemitteilungen, in Newslettern oder von Informationsschriften gebeten wird.32 Auch im Rahmen von Rekrutierungsmaßnamen der Bundeswehr kann um Zusendung von Informationsmaterial und Veranstaltungshinweisen gebeten werden. In diesen und vergleichbaren Fällen wäre eine Einwilligung erforderlich und zulässig, die dann auch nachgewiesen werden muss (siehe Art. 6 Rn. 39). Aus § 51 BDSG kann entnommen werden, dass im Anwendungsbereich dieser Vorschrift (Polizei und Justiz nach RL (EU) 2016/680) Einwilligungen nur möglich sind, wenn diese in einer Rechtsvorschrift vorgesehen sind.
22
Der ErwG 43 sieht generell ein „klares Ungleichgewicht“ zwischen einem Betroffenen und einer hoheitlichen Stelle, sodass deshalb von einer Freiwilligkeit einer Einwilligungserklärung gegenüber einer Behörde nicht ausgegangen werden könne. Wegen des durch die Verarbeitung seiner personenbezogenen Daten erfolgenden Eingriffs in die verfassungsrechtlich geschützten Positionen der Betroffenen sind in der Tat besonders hohe Anforderungen an die Feststellung der Freiwilligkeit zu stellen (siehe Art. 6 Rn. 36). Der Bürger ist in seiner Entscheidung dann nicht frei, wenn er sich persönlich durch die Einwilligung erhebliche Vorteile verspricht, auf deren Erlangung er sonst keinen Anspruch hätte. Hier geht es also nicht lediglich um die Mitwirkung durch Angabe von Daten zur Erlangung eines gesetzlichen Anspruchs. Maßstab ist auch die Verfassungsrechtsprechung, nach der von Freiwilligkeit nicht mehr gesprochen werden kann, wenn sich aus der Perspektive des Betroffenen zeigt, dass er gar keine andere Wahl als die Einwilligung hat.33
23
Unabhängig davon bestünden auch aus verfassungsrechtlichen Gründen Bedenken gegen die Erhebung personenbezogener Daten durch hoheitliche Stellen auf der Grundlage einer Einwilligung, wenn nicht ein Fachgesetz die Einwilligung in verfassungsrechtlich konformer Weise eröffnet (siehe § 51 Abs. 1 BDSG). Hoheitliche Stellen haben den Grundsatz der Gesetzmäßigkeit der Verwaltung zu beachten und werden einen Eingriff in die grundrechtlich geschützte informationelle Selbstbestimmung und das Grundrecht auf Schutz personenbezogener Daten aus Art. 8 GRCh nur aufgrund einer gesetzlichen Erlaubnis aus Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO und aus einem (nationalen) Fachgesetz vornehmen.
24
Für eine Einwilligung bleibt nur dann Raum, wenn sich die beabsichtigte Datenerhebung und -verwendung im Rahmen der Aufgabenbeschreibung der öffentlichen Stelle bewegt und sie für den Betroffenen nützlich ist. Im Übrigen hatte die auf eine Einwilligung gestützte hoheitliche Datenverarbeitung bisher nur eine geringe Bedeutung,34 was sich unter der DSGVO nicht ändern dürfte.
25
Kommt eine Einwilligung gegenüber einer öffentlichen Stelle danach überhaupt in Betracht, gibt es hinsichtlich der Anforderungen an eine Einwilligung keinen Unterschied, ob es sich beim Verantwortlichen um eine öffentliche Stelle des Bundes oder eine landesunmittelbare öffentliche Stelle handelt. Die Landesdatenschutzgesetze, die zur Anpassung an die DSGVO verabschiedet wurden, können keine abweichenden Regelungen zur Einwilligung treffen, sondern werden nur die in ihrem Kompetenzbereich liegenden gesetzlichen Erlaubnistatbestände noch ausfüllen können.35 Die sich aus der DSGVO ergebenden Zulässigkeitsanforderungen gelten für alle Verantwortlichen gleichermaßen.
5. Einwilligungen in der Systematik des Datenschutzrechts
26
Der Erlaubnistatbestand für die Verarbeitung personenbezogener Daten aufgrund einer Einwilligung findet sich in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO. Mit Art. 7 DSGVO ist die Zulässigkeit der Datenverarbeitung also nicht begründbar, weil sich hierin kein Erlaubnistatbestand befindet; er enthält allerdings als Teil der allgemeinen Grundsätze aus Kapitel II die weiteren Voraussetzungen für eine wirksame Einwilligung gem. Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO. Darüber hinaus hängt die Wirksamkeit der Einwilligung außer von den in der Legaldefinition des Art. 4 Nr. 11 DSGVO genannten Voraussetzungen noch von weiteren, an anderen Stellen geregelten Faktoren ab, etwa bei der Einwilligung durch Kinder in Bezug auf Dienste in der Informationsgesellschaft (Art. 8 DSGVO), oder für eine Einwilligung in besonderen Verarbeitungssituationen wie der Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 2 lit. a DSGVO, siehe Art. 9 Rn. 18ff.), die Einwilligung in automatisierte Entscheidungen (Art. 22 Abs. 2 lit. c DSGVO, siehe Art. 22 Rn. 62), in die Übermittlung personenbezogener Daten in Drittländer (Art. 49 Abs. 1 lit. a DSGVO, siehe Art. 49 Rn. 4f.) und in die Einwilligung im Beschäftigungsverhältnis (§ 26 Abs. 2 BDSG i.V.m. Art. 88 DSGVO, siehe § 26 Rn. 75).
27
Die Einwilligung kann neben einer gesetzlichen Erlaubnis aus Art. 6 Abs. 1 UAbs. 1 lit. b – lit. f DSGVO eine Verarbeitung erlauben. Daraus folgt, dass im Fall eines Widerrufs der Einwilligung die Daten wegen Fehlens einer Verarbeitungserlaubnis nicht gelöscht werden müssen. Insofern folgt aus einem Widerruf der Einwilligung keine Sperrwirkung für die Datenverarbeitung (siehe Rn. 47ff.). Die Einwilligung wird in der Praxis häufig dann (zusätzlich) eingeholt, wenn Rechtsunsicherheit darüber besteht, ob der gesetzliche Erlaubnistatbestand die Verarbeitung zu legitimieren vermag. Dies zeigt sich etwa bei einer Wechselwirkung von Wertpapierhandelsgesetz (WpHG) und DSGVO. § 83 Abs. 3ff. WpHG sieht vor, dass bei Wertpapiergeschäften Telefonate aufgezeichnet werden müssen (sog. Taping).36 Der gesetzliche Erlaubnistatbestand dafür ist Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO i.V.m. § 83 Abs. 3 WpHG. Insbesondere vor dem Hintergrund des Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO dürfen danach nur die Informationen aufgezeichnet werden, die nach § 83 WpHG aufzeichnungspflichtig, also erforderlich sind. Über den Umfang der Aufzeichnungspflicht besteht große Unsicherheit, weil sich in der Praxis zeigte, dass sich als irrelevant eingeschätzte Gespräche im Nachhinein als sehr relevant ergeben haben. Um eine bußgeldbewehrte Verletzung zu vermeiden, zeichnet das Wertpapierdienstleistungsunternehmen unter Umständen mehr Gesprächsdaten auf, als es nach § 83 Abs. 3 WpHG müsste. Um bei einer Aufzeichnung der sich als nicht „erforderlich“ erweisenden Gespräche eine Verarbeitungserlaubnis dokumentieren zu können, wird eine Einwilligung für die Gesprächsaufzeichnung eingeholt.37
28
Ist dem Verantwortlichen bewusst, dass neben der Einwilligung (möglicherweise) auch eine gesetzliche Erlaubnis zur Verarbeitung vorliegt, empfiehlt es sich, im Rahmen der Informationspflicht nach Art. 13 DSGVO auf diese „Zweispurigkeit“ hinzuweisen. Wird dem Verantwortlich erst nach der auf eine Einwilligung gestützten Verarbeitung bewusst, dass (mutmaßlich) auch eine gesetzliche Erlaubnis vorliegt, sollte diese Information nachgeholt werden, auch wenn Art. 13 Abs. 1 lit. c DSGVO davon ausgeht, dass die Information über die Erhebung der Daten „zum Zeitpunkt der Erhebung“ mitzuteilen ist. Das dürfte hinzunehmen sein, weil die Information bereits vollumfänglich zum Zeitpunkt der Erhebung erfolgte und hier nur eine weitere Rechtsgrundlage für die Verarbeitung mitgeteilt wird. Aber auch ohne diese Information wird die Datenverarbeitung bei Vorliegen einer gesetzlichen Erlaubnis im Falle eines Widerrufs der Einwilligung