Personen wiederholt nach ihrer Einwilligung zu fragen, wenn diese eine Webseite erneut besuchen und die Erteilung der Einwilligung zuvor bereits abgelehnt haben. So könnten die betroffenen Personen in diesem Fall die Einwilligung irgendwann einfach deshalb abgeben, um „in Ruhe gelassen zu werden“.617
324
Ggf. können beim Nudging/Dark Patterns auch wettbewerbsrechtliche Grenzen zu beachten sein.
bb) Bestimmtheit der Einwilligung
325
Eine weitere Anforderung an eine wirksame Einwilligung besteht nach Art. 4 Nr. 11 DSGVO darin, dass sie „für den bestimmten Fall“ erteilt werden muss.
326
Durch die Bestimmtheit der Einwilligung soll sichergestellt werden, dass die betroffene Person ein gewisses Maß an Kontrolle über die Datenverarbeitung besitzt und diese für sie transparent erfolgt.618 Denn nur wenn die betroffene Person weiß, was konkret mit ihren Daten geschehen soll, kann sie (selbstbestimmt) darüber entscheiden, ob sie dieser Datenverarbeitung zustimmen möchte oder nicht.619 Außerdem lässt sich nur dann, wenn die Einwilligung bestimmt ist, objektiv (aus Sicht eines objektiven Empfängers) nachvollziehen und kontrollieren, ob eine bestimmte Verarbeitung von der Einwilligung gedeckt ist oder nicht.620 Mithin dient das Erfordernis der Bestimmtheit der Einwilligung auch dazu, der Datenverarbeitung des Verantwortlichen (auf Basis der Einwilligung) klare und objektiv nachvollziehbare Grenzen zu setzen.621
327
Die Bestimmtheit der Einwilligung ist eng mit dem Erfordernis der Informiertheit (siehe hierzu unten Rn. 335ff.) verbunden, mit dem sie sich teilweise auch überschneidet. So wird dann auch in der Rechtsprechung mitunter nicht strikt und stringent zwischen diesen beiden Anforderungen differenziert. Hinzu kommt, dass zwischen diesen beiden Anforderungen auch Wechselwirkungen dahingehend bestehen, dass sie einander – vor allem in der Praxis – teilweise bedingen. So setzt z.B. die Bestimmtheit der Einwilligung voraus, dass die betroffene Person entsprechend über die geplante Datenverarbeitung informiert wurde.
328
In Teilen folgt das Erfordernis der Bestimmtheit der Einwilligung auch aus dem Grundsatz der Zweckbindung gem. Art. 5 Abs. 1 lit. b DSGVO sowie aus Art. 6 Abs. 1 lit. a DSGVO („für einen oder mehrere bestimmte Zwecke“).
329
Für den bestimmten Fall ist eine Einwilligung abgegeben, wenn Inhalt, Zweck und Tragweite der Erklärung hinreichend konkretisiert sind.622 Insbesondere muss aus ihr hervorgehen, welche Daten für welche Zwecke von wem verarbeitet werden (vgl. auch Art. 6 Abs. 1 lit. a DSGVO).623 Ebenso sind die Art der Datenverarbeitung624 sowie ggf. etwaige Empfänger anzugeben.625 Somit sind also auch nach der DSGVO Pauschal- oder Blankoeinwilligungen grundsätzlich unwirksam. Zulässig ist es allerdings nach ErwG 32 Satz 4, wenn der Verantwortliche in der Einwilligung mehrere Zwecke für die Datenverarbeitung angibt, denen der Einwilligende zustimmen soll (siehe auch Art. 6 Abs. 1 lit. a DSGVO).626
330
Der Grad der Bestimmtheit, welchen eine Einwilligungserklärung aufweisen muss, richtet sich nach dem jeweiligen Einzelfall. Je stärker die Verarbeitung in die Grundrechte und -freiheiten der betroffenen Person eingreift, desto höher sind die Anforderungen an die Bestimmtheit.627 Allerdings muss gerade auch bei komplexen Datenverarbeitungen darauf geachtet werden, dass die (konkrete) Beschreibung der verarbeiteten Daten sowie der Zwecke, für die sie verarbeitet werden, und der Art der Datenverarbeitung auch noch verständlich ist, sodass gerade bei komplexen Datenverarbeitungen eine gewisse Unschärfe im Hinblick auf die Bestimmtheit der Einwilligung hinzunehmen ist, wenn die Einwilligenden die Beschreibung andernfalls nicht verstehen würden.628 Ggf. kann in diesem Zusammenhang auch ein Mehrebenenansatz sinnvoll sein (siehe hierzu ausführlich Rn. 345), der nicht nur dazu beitragen kann, dass die Einwilligung informiert erfolgt. Vielmehr kann ein solcher Ansatz ggf. auch die Bestimmtheit der Einwilligung fördern. Entscheidend ist, dass die betroffene Person die geplanten Datenverarbeitungen bei Abgabe der Einwilligung so deutlich vorhersehen kann, dass sie sich ein Bild von ihr und den mit ihr verbundenen Chancen und Risiken machen kann.629 Bei der Frage, ob geplante Datenverarbeitungen vorhersehbar sind, sollten sich Verantwortliche an einer verständigen Durchschnittsperson orientieren, die zum primären Adressatenkreis der Einwilligung zählt.630 So sollen z.B. personenbezogene Daten nicht für Zwecke verarbeitet werden dürfen, mit denen die betroffene Person aufgrund einer unbestimmten Zweckbeschreibung nicht gerechnet hat und objektiv auch nicht rechnen musste.631
331
Für die Bestimmtheit einer Einwilligung ist es nach Ansicht des BGH zudem erforderlich, dass sie so gestaltet ist, dass eine ggf. notwendige (granulare) Auswahl (z.B. von Empfängern von Daten, Verarbeitungszwecken etc.) durch die betroffene Person nicht mit einem Aufwand verbunden ist, der außer Verhältnis zum „Einsatzzweck“ der Einwilligung steht (z.B. der Teilnahme an einem Gewinnspiel).632 Dies gilt nach Auffassung des BGH zumindest in den Fällen, in denen ansonsten der Verantwortliche die Auswahl treffen würde.633 Keinen unverhältnismäßigen Aufwand per se stellt es nach hier vertretener Ansicht dar, dass Auswahlmöglichkeiten für die betroffene Person (erst) auf der zweiten Ebene einer Einwilligung angeboten werden, wenn die Einwilligung im Wege eines Mehrebenenansatzes gestaltet ist.634 Allerdings müssen sowohl die Gestaltung, dass sich die Auswahlmöglichkeiten auf der zweiten Ebene befinden als auch die Auswahlmöglichkeiten (auf der zweiten Ebene) an sich für die betroffene Person transparent sein.
332
An der Bestimmtheit der Einwilligung kann es nach Auffassung des EuGH zudem fehlen, wenn die Einwilligung nicht klar von anderen Vertragsklauseln zu unterscheiden ist und die betroffene Person diesen Vertragsklauseln zusammen mit der Einwilligung durch eine Handlung zustimmt.635
333
Zu den Anforderungen aus ErwG 43 Satz 2 und ErwG 32 Satz 4 und 5, z.B. zur Transparenz und zur Granularität der Einwilligung, siehe oben Rn. 309ff. Insbesondere im Hinblick auf die Granularität der Einwilligung lassen sich die Anforderungen, die aus dem Erfordernis der Freiwilligkeit und solche, die aus dem Erfordernis der Bestimmtheit der Einwilligung herrühren, kaum voneinander trennen, weshalb die Erläuterungen insoweit zusammen im Rahmen der Freiwilligkeit der Einwilligung erfolgen. Zum „Nudging“ bzw. zu „Dark Patterns“ siehe Rn. 318ff.
334
Dient die Einwilligung zur Legitimation der Verarbeitung von Daten zu Forschungszwecken, können gem. ErwG 33 ausnahmsweise aber auch Einwilligungen in der Form eines sogenannten „broad consent“ oder „tiered consent“ wirksam sein. Durch diese Ausnahme soll die wissenschaftliche Forschung privilegiert werden, da beim Beginn von wissenschaftlichen Forschungsprojekten die genauen Untersuchungen und Tätigkeiten während der gesamten Dauer dieses Projekts oftmals noch nicht abschließend angegeben werden können (ausführlich zur Bestimmtheit einer Einwilligungserklärung Art. 6 Rn. 45f., Art. 7 Rn. 135ff.).636
cc) Informiertheit der Einwilligung
335
Des Weiteren muss die Einwilligung gem. Art. 4 Nr. 11 DSGVO auch informiert erfolgen, damit sie wirksam sein kann. Diese Anforderung knüpft an den Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO an und steht in engem Verhältnis mit dem Erfordernis der Bestimmtheit der Einwilligung (siehe oben unter Rn. 325ff.), mit dem sie sich teilweise überschneidet. In informierter Weise wird eine Einwilligung erteilt, wenn der betroffenen Person vor Abgabe der Einwilligungserklärung sämtliche Informationen zur Verfügung gestellt wurden, die notwendig sind, dass sie die Umstände der Datenverarbeitung sowie ihre Auswirkungen und damit die Tragweite ihrer Einwilligung überblicken kann.637 Nur in diesem Fall kann sie eine selbstbestimmte Entscheidung darüber treffen, ob sie mit der Datenverarbeitung einverstanden