eine erhebliche Bedeutung im Rahmen der Rechtmäßigkeit der Datenverarbeitung. Gerade wenn keine Rechtsvorschrift, z.B. aus der DSGVO, die Datenverarbeitung erlaubt, kann diese nur dann erfolgen, wenn die betroffene Person ihre Einwilligung hierzu erteilt hat. Dieses Prinzip folgt aus Art. 8 Abs. 2 GRCh, nach dem personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Die Einwilligung ist Ausdruck der Selbstbestimmung der betroffenen Person, – frei von Paternalismus und Zwang – selbst über die Verarbeitung „ihrer“ Daten entscheiden zu dürfen.
b) Einwilligung nach Art. 2 lit. h DSRl
292
Nach Art. 4 Nr. 11 DSGVO ist eine „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Damit unterscheidet sich Art. 4 Nr. 11 DSGVO durchaus von der in Art. 2 lit. h DSRl enthaltenen Definition der Einwilligung. Nach dieser Vorschrift war eine Einwilligung jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.
c) Weitere Anforderungen an die Einwilligung in anderen Vorschriften der DSGVO
293
Allerdings enthält Art. 4 Nr. 11 DSGVO nicht sämtliche Voraussetzungen einer wirksamen Einwilligungserklärung. Weitere Voraussetzungen finden sich insbesondere in Art. 6 Abs. 1 lit. a und Art. 7 DSGVO sowie ggf. in Art. 8 DSGVO (Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft), Art. 9 Abs. 2 lit. a (Verarbeitung besonderer Kategorien personenbezogener Daten), Art. 22 Abs. 2 lit. c (automatisierte Entscheidungen im Einzelfall) und Art. 49 Abs. 1 Satz 1 lit. a DSGVO (Übermittlung personenbezogener Daten in ein Drittland).559 Durch diese – teilweise unnötige – Aufteilung hat der Verordnungsgeber die Verständlichkeit der DSGVO und der Voraussetzungen für eine wirksame Einwilligungserklärung leider erschwert. Für Einwilligungen im Beschäftigungsverhältnis ist insbesondere auch § 26 Abs. 2 und 3 BDSG zu beachten.
d) Entwicklung der Definition im Rahmen des Gesetzgebungsprozesses
294
Zwischen den in den verschiedenen Entwurfsfassungen der DSGVO enthaltenen Definitionen der Einwilligung gab es – vom bloßen Wortlaut her – nur geringe Unterschiede. Nach dem Vorschlag der Europäischen Kommission und der Fassung des Europäischen Parlaments sollte die Einwilligung durch eine „explizite“ bzw. „ausdrückliche“ Willensbekundung erfolgen.560 Hierdurch sollte insbesondere sichergestellt werden, dass der betroffenen Person bewusst ist, dass sie eine Einwilligung erteilt und worin sie eingewilligt hat.561 In der Fassung des Rates der Europäischen Union war dieses Ausdrücklichkeitserfordernis hingegen nicht (mehr) enthalten.562 Im Rahmen der Trilog-Verhandlungen haben sich die beteiligten Institutionen dann auf die nun in Art. 4 Nr. 11 DSGVO enthaltene Formulierung geeinigt, nach der die Einwilligung durch eine „unmissverständlich abgegebene“ Willensbekundung erteilt werden muss. Außerdem wurde in die Definition – im Unterschied zu den vorangegangenen Fassungen – mit aufgenommen, dass die Willenserklärung in Form einer Erklärung oder einer sonstigen eindeutigen „bestätigenden“ Handlung erteilt werden muss.
295
Teilweise wird hieraus – insbesondere auch vor dem Hintergrund von ErwG 32, der Beispiele für eine eindeutige bestätigende Handlung nennt – geschlossen, dass zwischen der von der Europäischen Kommission und dem Europäischen Parlament vorgeschlagenen Fassung und der verabschiedeten Fassung der Definition der Einwilligung in Art. 4 Nr. 11 DSGVO kaum ein Unterschied bestünde.563
296
Diese Aussage ist jedoch zu weitgehend. So ist festzustellen, dass sich der Verordnungsgeber im Laufe des Gesetzgebungsprozesses ganz bewusst dagegen entschieden hat, dass eine Einwilligung – soweit in der DSGVO nicht ausnahmsweise etwas anderes geregelt ist, wie in Art. 9 Abs. 2 lit. a, Art. 22 Abs. 2 lit. c und Art. 49 Abs. 1 Satz 1 lit. a DSGVO – durch eine ausdrückliche Willensbekundung erfolgen muss. Dieser Umstand ist bei der Auslegung der DSGVO, insbesondere auch des ErwG 32, zu berücksichtigen.564 So entsprechen die nun in Art. 4 Nr. 11 DSGVO enthaltenen Voraussetzungen eben nicht vollständig dem in den Fassungen der Europäischen Kommission und des Europäischen Parlaments enthaltenen Ausdrücklichkeitserfordernis.
2. Begriff der Einwilligung
297
Art. 4 Nr. 11 DSGVO enthält insgesamt sechs Anforderungen an eine wirksame Einwilligung: Diese teilen sich in insgesamt drei Anforderungen im Hinblick auf den Inhalt der Einwilligung und in drei Anforderungen an die Form der Einwilligung auf.
298
Die in Art. 4 Nr. 11 DSGVO statuierten Anforderungen an den Inhalt der Einwilligung sind:
1. Die Einwilligung muss freiwillig erteilt werden.
2. Sie muss für einen bestimmten Fall erteilt werden.
3. Sie muss in informierter Weise erteilt werden.
299
Im Hinblick auf die Form der Einwilligung enthält Art. 4 Nr. 11 DSGVO die folgenden Anforderungen:
1. Die Einwilligung muss von der betroffenen Person erteilt werden.
2. Sie muss unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erteilt werden, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
3. Außerdem enthält Art. 4 Nr. 11 DSGVO die Anforderung, dass die Einwilligungserklärung „abgegeben“ werden muss. Somit enthält Art. 4 Nr. 11 DSGVO indirekt auch die Anforderung, dass die betroffene Person einwilligungsfähig ist, also eine rechtlich wirksame Einwilligung abgeben darf.
300
Eine ausführliche Erläuterung dieser Anforderungen erfolgt auch in der Kommentierung zu Art. 7 DSGVO, Art. 6 Abs. 1 lit. a DSGVO und für die Verarbeitung von Beschäftigtendaten in § 26 BDSG.
301
Alteinwilligungen, also Einwilligungen, die vor Beginn der Anwendbarkeit der DSGVO erteilt wurden, bleiben wirksam, sofern sie den (Wirksamkeits-)Anforderungen an eine Einwilligung nach der DSGVO entsprechen (siehe ErwG 171 Satz 3).565
a) Anforderungen an den Inhalt der Einwilligung
aa) Freiwilligkeit der Einwilligung
302
Das Erfordernis der Freiwilligkeit ist eng mit dem Grundsatz der Selbstbestimmung verknüpft. Die Freiwilligkeit und die Selbstbestimmung bedingen einander. Handelt eine (betroffene) Person nicht freiwillig, bestimmt sie nicht über sich selbst. Kann eine betroffene Person nicht über sich selbst bestimmen, handelt sie nicht freiwillig.566 Hieraus folgt, dass die Einwilligung als Ausdruck der Selbstbestimmung der betroffenen Person freiwillig erfolgen muss, damit sie wirksam ist.
303
Eine Einwilligung wird freiwillig abgegeben, wenn die betroffene Person eine „echte Wahl“