nach hier vertretener Ansicht nicht entnommen werden, dass
– ein Verantwortlicher eine Datenverarbeitung, die zu mehreren Zwecken erfolgt, nicht im Hinblick auf einige der Zwecke auf eine Einwilligung und für andere Zwecke auf gesetzliche Grundlagen stützen können soll, sondern er in diesem Fall für sämtliche Zwecke eine Einwilligung einholen muss (Satz 5),589 oder
– es einem Verantwortlichen, der mehrere Datenverarbeitungen zu demselben Zweck/denselben Zwecken durchführt, verwehrt sein soll, diese teilweise auf eine Einwilligung und teilweise auf gesetzliche Grundlagen zu stützen. Aus ErwG 32 Satz 4 und 5 folgt nach hier vertretener Auffassung also nicht, dass der Verantwortliche in einem solchen Fall – wenn er einige Verarbeitungen auf eine Einwilligung stützen möchte – auch für sämtliche anderen Datenverarbeitungen eine Einwilligung einholen muss. Ein solches Erfordernis kann allenfalls unter den Voraussetzungen von ErwG 43 Satz 2 DSGVO bestehen (siehe oben Rn. 309).
Auch wenn der Wortlaut von ErwG 32 Satz 4 und 5 durchaus so verstanden werden kann, dass sich aus ihm eventuell die soeben aufgeführten Aussagen entnehmen lassen, würde dies Art. 6 Abs. 1 S. 1 DSGVO widersprechen, nach dem die Datenverarbeitung gerechtfertigt ist, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt ist, zu denen sowohl die Einwilligung als auch gesetzliche Erlaubnistatbestände zählen. Ein Ausschluss der Möglichkeit, sich in Fällen wie den oben genannten auf die gesetzlichen Erlaubnistatbestände zu berufen, ist mit dem Wortlaut von Art. 6 Abs. 1 Satz 1 DSGVO mithin nicht vereinbar und kann daher auch nicht aus ErwG 32 S. 4 und 5 abgeleitet werden.
316
Eine Einwilligung ist grundsätzlich auch dann als freiwillig und bei Vorliegen der weiteren Voraussetzungen als wirksam anzusehen, wenn der Verantwortliche die Datenverarbeitung (auch) auf eine andere (gesetzliche) Erlaubnis stützen könnte (siehe ausführlich hierzu Art. 6 Rn. 24ff. und 47ff.).590
317
Die Freiwilligkeit einer Einwilligung kann allerdings ausgeschlossen sein, wenn die betroffene Person diese (aktiv) verweigern muss, z.B. durch Klicken auf einen „Ablehnen-Button“,591 und diese Verweigerung gegenüber der Erteilung der Einwilligung mit zusätzlichen Anforderungen verbunden ist.592 Dies dürfte jedenfalls dann der Fall sein, wenn die Willensbildung der betroffenen Person dadurch so beeinflusst wird, dass diese die Einwilligung erteilt, weil dies der für sie einfachere Weg und ihr die Verweigerung zu umständlich ist.593
318
Umstritten ist, inwieweit das sogenannte „Nudging“ bzw. „Dark Patterns“ mit dem Erfordernis der Freiwilligkeit der Einwilligung vereinbar sind. Die Bedeutung der Begriffe „Nudging“ und „Dark Patterns“ ist dabei gerade in Einzelheiten noch nicht abschließend geklärt – zudem lassen sich die beiden Begriffe auch nicht immer trennscharf voneinander unterscheiden.594 Ganz grundsätzlich werden als „Nudging“ oder „Dark Patterns“ Gestaltungen der Einwilligung bezeichnet, die die Entscheidung der betroffenen Person in eine bestimmte Richtung, also in Richtung der Erteilung der Einwilligung, lenken sollen.595 Der Unterschied zwischen Nudging und Dark Patterns besteht – etwas verkürzt ausgedrückt – dann darin, dass „Nudging“ die betroffene Person zu einem Handeln bewegen will, das ihren vermuteten eigenen Interessen entspricht bzw. wenigstens gesamtgesellschaftliche Ziele fördert,596 wohingegen „Dark Patterns“ die Interessen der betroffenen Person zumindest ignorieren und sie zu einer Handlung bewegen sollen, die (einseitig) den Interessen des Verwenders dient.597 Oftmals werden derartige Verfahren beispielsweise bei Einwilligungen in die Verwendung von Cookies eingesetzt und z.B. der „Zustimmen“-Button auffälliger gestaltet, als der „Ablehnen“-Button.
319
Werden Nudging- oder Dark Patterns-Techniken verwendet, kann dies – je nach Einzelfall – insbesondere Auswirkungen auf die Freiwilligkeit,598 die Informiertheit599 sowie die Bestimmtheit600 der Einwilligung haben. Mitunter kann es in solchen Fällen auch fraglich sein, ob die betroffene Person ihre Einwilligung unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erteilt.601 Insoweit verbieten sich aufgrund der unüberschaubaren Vielzahl an Gestaltungsmöglichkeiten602 allzu pauschalierende, generelle Aussagen zur Zulässigkeit derartiger Techniken, da letztlich in jedem Einzelfall zu prüfen ist, ob die (allgemeinen) Anforderungen an die Freiwilligkeit, Informiertheit etc. der Einwilligung erfüllt sind.603
320
Ist dies der Fall, steht der Einsatz von Nudging- bzw. Dark-Patterns-Techniken der Wirksamkeit der Einwilligung nicht entgegen. Die Freiwilligkeit kann dabei im vorliegenden Zusammenhang insbesondere dann ausgeschlossen sein, wenn die Gestaltung derart unübersichtlich ist, dass (i) die betroffene Person faktisch keine echte Wahl hat, ob sie die Einwilligung erteilt oder nicht, (ii) die Gestaltung die betroffene Person bzgl. ihrer Wahlmöglichkeiten in die Irre führt (die betroffene Person z.B. irrig annimmt, ihre Einwilligung erteilen zu müssen, um bestimmte Dienste etc. nutzen zu können), (iii) die Verweigerung der Einwilligung gegenüber der Erteilung mit zusätzlichen Anforderungen verbunden ist604 oder (iv) die Erteilung der Einwilligung als klar vorzugswürdige Option erscheint.605
321
Mithin sind nach hier vertretener Ansicht das bloße farbliche Hervorheben606 oder die vorteilhafte Platzierung eines Buttons oder eine etwas größere Schrift oder Fettdruck für den „Zustimmen-Button“ per se grundsätzlich nicht mit den Vorgaben der DSGVO unvereinbar.607 Nicht zulässig ist es hingegen i.d.R, wenn nur der „Zustimmungs-Button“ blinkt oder die Schrift bei einer (Ablehnungs-)Möglichkeit wegen der Schriftfarbe oder -größe kaum (noch) lesbar ist.608 Nach Auffassung des LG Rostock ist es unzulässig, wenn eine Schaltfläche zur Auswahl nur notwendiger Cookies, die als Alternative zur Schaltfläche „Cookies zulassen“ implementiert ist, gar nicht als anklickbare Schaltfläche zu identifizieren ist und die „Cookies zulassen“-Schaltfläche durch ihre Farbgebung vorbelegt erscheint.609 Im Übrigen sollten alle vorgehaltenen Buttons gleich aussagekräftig bezeichnet („Zustimmen“, „Ablehnen“, „Cookies auswählen“ etc.) sein und ihre Bedeutung nicht „verschleiern“ oder gar in die Irre führen.610 Siehe zu der Frage, inwiefern im Rahmen eines Mehrebenenansatzes ggf. auch ein Button, mit dem die Erteilung der Einwilligung (generell) abgelehnt werden kann, auf der ersten Ebene vorzusehen ist, die Ausführungen unter Rn. 312. Soweit die Erbringung eines Dienstes/der Abschluss eines Vertrages in zulässiger Weise an die Erteilung einer Einwilligung gekoppelt wird, ist die Vorhaltung eines „Ablehnen-Buttons“ grundsätzlich generell nicht erforderlich.611
322
Daneben können sich Anforderungen bzw. Grenzen in Bezug auf Nudging oder Dark Patterns unter Umständen auch aus Art. 25 DSGVO („Privacy by design and default“) ergeben.612
323
Der Europäische Datenschutzausschuss scheint insoweit dann auch eine strengere Sichtweise zu vertreten. So vertritt er in seinen Erläuterungen zu Art. 25 DSGVO („Privacy by design and default“) die Auffassung, dass bei einer (elektronischen) Einwilligung die Wahlmöglichkeiten zur Zustimmung und zur Ablehnung der Einwilligung gleich sichtbar anzuzeigen seien, damit diese den Vorgaben aus Art. 25 DSGVO entsprächen.613 Auch die französische Datenschutzaufsichtsbehörde CNIL verlangt, dass die verschiedenen Wahlmöglichkeiten gleichberechtigt ohne Bevorzugung einer Möglichkeit vorgehalten werden.614 Die Landesbeauftragte für den Datenschutz Niedersachsen scheint das Nudging/Dark Patterns hingegen zu einem gewissen Maß zu akzeptieren.615 So führt sie in einer Handreichung zu Einwilligungen auf Webseiten aus, dass erlaubtem Nudging Grenzen gesetzt seien und verhaltensmanipulierende Ausgestaltungen zu einer Unwirksamkeit der Einwilligung führen können.616 Hieraus lässt sich im Umkehrschluss entnehmen, dass es nach Auffassung der Landesbeauftragten für den Datenschutz Niedersachsen auch erlaubtes Nudging geben muss – Nudging also nicht per se verboten ist.