die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise (...), mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert“ (ErwG 32).53 Es wird kein Zweifel daran gelassen, dass „Stillschweigen, oder Untätigkeit der betroffenen Person ... keine Einwilligung darstellen“ kann (ErwG 32). Das vom Anbieter voreingestellte Kreuz in einem Ankreuzkästchen (Checkbox), mit dem die Einwilligung erklärt werden soll, kann ebenso keine wirksame Einwilligungserklärung darstellen wie ein vorformulierter Text ganz ohne Checkbox. Dieses bestätigte der EuGH in seiner Planet49-Entscheidung,54 die auf einen Vorlagebeschluss des BGH erging. Auch kann eine Einwilligungserklärung nicht angenommen werden, wenn oberhalb des die Einwilligung formulierenden Textes eine Schaltfläche angebracht wird, deren Anklicken zu einem Vertragsschluss führen soll, der von einer Einwilligung abhängig gemacht wird.
39
Im Verfahren Planet49 hatte der Generalanwalt in seinen Schlussanträgen55 die Ansicht vertreten, dass die Einwilligungserklärung gesondert von anderen Erklärungen abzugeben sei. Hierauf war der EuGH im Urteil nicht explizit eingegangen, sondern stellte nur fest, dass eine Einwilligung nicht aus einer Willenserklärung zu einem anderen Thema abgeleitet werden kann. Bei einer anderen, eindeutigen Gestaltung mit verständlicher Darlegung der Erklärungsinhalte ist es aber möglich, durch einen einzigen Klick zwei rechtserhebliche Erklärungen zusammen abzugeben. Der Wortlaut von Art. 7 Abs. 2 Satz 1 ist insofern eindeutig (siehe auch Rn. 54). Dies bedeutet letztlich, dass dann, wenn die Einwilligung von den übrigen Erklärungsinhalten hinreichend klar unterscheidbar und ihr Inhalt eindeutig von der Schaltfläche umfasst ist, davon ausgegangen werden kann, dass die betroffene Person sie durch einen Klick auf die Schaltfläche auch unmissverständlich zusammen mit einer anderen (Vertrags-)Erklärung abgeben kann.56
40
Wegen des Zusammenspiels von Art. 5 Abs. 3 ePrivacyRL, dem durch Art. 3 des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien aufgehobenen § 15 Abs. 3 Satz 1 TMG und der Datenschutz-Grundverordnung gehörte es zu den komplexesten Fragen, unter welchen Voraussetzungen, in welcher Weise sowie aufgrund welchen Rechtsgrundes eine Einwilligung in das Setzen und Auslesen von Cookies wirksam erteilt werden kann. Eigentlich sollte diese Rechtsfrage durch die ePrivacyVO geklärt werden, die gemeinsam mit der DSGVO wirksam werden sollte, aber die über einen Vorschlag des Rates, der im Trilog zu beraten ist, bislang nicht hinauskam.57 Der deutsche Gesetzgeber hat daher letztlich doch (noch) mit § 24 TTDSG eine Vorschrift geschaffen, nach der eine Einwilligung in das Speichern von Informationen in Endeinrichtungen oder den Abruf von Informationen, die in Endeinrichtungen der Endnutzer gespeichert sind, erforderlich ist. Die Anforderungen an die Wirksamkeit der Einwilligung und an die klare und umfassende Information über die Einwilligung ergeben sich dabei aufgrund des Verweises in § 25 Abs. 1 Satz 2 TTDSG aus der DSGVO.58
41
Über die nach früherem Recht geführte Diskussion zur Rechtsnatur der Einwilligung nach dem Recht eines Mitgliedstaates ist unter dem Regime der DSGVO weitgehend obsolet geworden. Ein Bedürfnis dafür besteht nicht, weil sich die Bedingungen der wirksamen Einwilligung allein aus der DSGVO ergeben.59
6. Verhältnis zu anderen Regelungen
42
Das nationale Recht sieht in zahlreichen bundes- und landesgesetzlichen Regelungen zur Einwilligung in die Verarbeitung personenbezogener Daten vor.60 Solange die nationalen Gesetzgeber durch Anpassungsgesetze diese Vorschriften nicht wegen der abschließenden Regelung in der DSGVO aufgehoben oder an die DSGVO angepasst haben, wird zu prüfen sein, ob sie aufgrund des Anwendungsvorrangs der DSGVO noch angewendet werden dürfen, was regelmäßig nicht der Fall sein wird. Soweit im BDSG beispielsweise in §§ 46 Nr. 17, 51 BDSG für den Bereich der Polizei und Justiz auf der Grundlage der RL (EU) 2016/680 Regelungen zur Einwilligung enthalten, bleiben diese aber von der DSGVO unberührt.
43
Problematisch ist das Verhältnis der DSGVO zu den §§ 22 und 23 KUG. Nach dem Bildnisschutz aus § 22 Satz 1 KUG ist das Verbreiten und das öffentliche Zurschaustellen von Fotografien und Videoaufnahmen nur mit Einwilligung der abgebildeten Person zulässig, wenn nicht die in § 23 KUG enthaltenen Ausnahmen zum Tragen kommen. Weil Fotografien oder Videoaufnahmen, auf denen Personen erkennbar sind, personenbezogene Daten enthalten, fällt schon das Aufnehmen von Fotografien und das Filmen grundsätzlich unter das Datenschutzrecht, sodass darauf die DSGVO anzuwenden ist, wenn die Aufnahmen nicht allein privaten Zwecken dienen (household exemption, Art. 2 Abs. 2 lit. c DSGVO). Fraglich ist, ob der § 23 KUG mit seinen Ausnahmen vom Verbreitungsverbot wegen eines Anwendungsvorrangs der DSGVO gar keine Anwendung mehr findet und sich die Erlaubnis für das Verbreiten ausschließlich aus einer Einwilligung (lit. a), aus einem Vertrag (lit. b) oder aus Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO ergibt, wobei die Ausnahmeregelungen des unanwendbaren § 23 KUG bei der Abwägung der Interessen nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO doch entsprechend noch Berücksichtigung finden könnten.61 Wenn die DSGVO gegenüber dem mit dem Gesetz zur Anpassung des Datenschutzrechts62 nicht aufgehobenen KUG Anwendungsvorrang vor dem KUG genösse und dieses verdrängen würde, wäre der nationale Gesetzgeber aufgefordert, gem. Art. 85 Abs. 1 DSGVO das Datenschutzrecht mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang zu bringen und das Aufnehmen und Verbreiten von Fotografien unter festzulegenden Voraussetzungen zu erlauben. Zwischenzeitlich schien es so – auch wegen eines Urteils des OLG Köln63 und einer Information des BMI –, dass sich gegenüber der bisherigen Rechtslage nicht viel geändert hätte. Wird lediglich für den privaten Gebrauch fotografiert und damit außerhalb des Anwendungsbereichs der DSGVO (Art. 2 Abs. 2 lit. c DSGVO), so ist das Allgemeine Persönlichkeitsrecht der aufgenommenen Person zu beachten. Ansonsten muss aus datenschutzrechtlicher Perspektive eine Erlaubnis gefunden werden. Diese kann sich gemäß dem Urteil des OLG Köln aus § 23 KUG eingeschränkt aber nur für den journalistischen Bereich der Bildberichterstattung ergeben – zur Herstellung praktischer Konkordanz zwischen Datenschutz und Äußerungs- und Kommunikationsfreiheit aufgrund der Öffnungsklausel des Art. 85 DSGVO. Damit ist eine Äußerung aus dem BMI auf dessen Webseite bedeutungslos, auf der es geheißen hatte, dass das KUG weiter gelte:
„Für die Veröffentlichung von Fotografien enthält das Kunsturhebergesetz (KunstUrhG) ergänzende Regelungen, die auch unter der ab dem 25. Mai 2018 anwendbaren Datenschutz-Grundverordnung fortbestehen. Das Kunsturhebergesetz stützt sich auf Artikel 85 Absatz 1 der Datenschutz-Grundverordnung, der den Mitgliedstaaten nationale Gestaltungsspielräume bei dem Ausgleich zwischen Datenschutz und der Meinungs- und Informationsfreiheit eröffnet. Es steht nicht im Widerspruch zur Datenschutz-Grundverordnung, sondern fügt sich als Teil der deutschen Anpassungsgesetzgebung in das System der Datenschutz-Grundverordnung ein.“64
44
Weiter anwendbar sind die Vorschriften, die der Umsetzung der RL 2002/58/EG65 dienen. Zu ihnen gehört § 7 UWG, der die werbliche Ansprache über E-Mail, Telefax und Telefon verbietet bzw. von einer ausdrücklichen Einwilligung abhängig macht. Diese Richtlinie soll durch die ePrivacy-Verordnung abgelöst werden, für die derzeit nur Entwürfe vorliegen. Die künftige ePrivacy-Verordnung wird für ihren Anwendungsbereich entsprechende Regelungen treffen, die für die Einwilligung bei der elektronischen Kommunikation von Bedeutung sein werden und (übergangsweise) im TTDSG enthalten sind.
45
Die datenschutzrechtlichen Vorschriften der bereits 2017 an die DSGVO angepassten und mit dem 25.5.2018 in Kraft getretenen Datenschutzvorschriften des Sozialrechts, insbesondere die § 35 SGB I und §§ 67ff. SGB X gelten aufgrund von Öffnungsklauseln (Art. 1 Abs. 2; Art. 6 Abs. 2 und 3; Art. 23 DSGVO) weiter.66