„schuldet“ der Verantwortliche nach hier vertretener Ansicht nicht den Erfolg, dass die betroffene Person auch tatsächlich informiert ist, sondern nur die zumutbare Möglichkeit zur Kenntnisnahme der Informationen.639 Zwar könnte der EuGH in seiner Entscheidung Orange România/ANSPDCP dahingehend zu verstehen sein, dass die betroffene Person die ihr zur Verfügung gestellten Informationen auch gelesen und verstanden haben muss, damit die Einwilligung informiert erfolgen und sie wirksam erteilt werden kann.640 Darüber hinaus kann der EuGH in dieser Entscheidung auch so verstanden werden, dass der Verantwortliche sogar nachweisen können muss, dass die betroffene Person die Informationen tatsächlich gelesen und verstanden hat.641 Einem solchen Verständnis kann nach hier vertretener Ansicht jedoch nicht gefolgt werden und lässt sich wohl vor allem mit dem sehr speziellen Sachverhalt erklären, über den der EuGH zu entscheiden hatte. Dieser zeichnete sich insbesondere dadurch aus, dass Mitarbeiter des Verantwortlichen die betroffene Person nach mündlicher Unterrichtung über die Datenverarbeitung gefragt haben, ob sie einer bestimmten Datenverarbeitung zustimmen würde. Tat sie dies, haben die Mitarbeiter des Verantwortlichen das für die Zustimmung vorgesehene Ankreuzfeld, neben dem noch eine Klausel zur Datenverarbeitung enthalten war, im zwischen dem Verantwortlichen und der betroffenen Person abzuschließenden Vertrag angekreuzt. Anschließend hat die betroffene Person dann den gesamten Vertrag mitsamt des angekreuzten Feldes unterzeichnet – teilweise fehlte dieses Kreuz wohl auch.642
337
Jedenfalls kann dieses Verständnis nach hier vertretener Ansicht grundsätzlich nicht einfach auf andere Fallkonstellationen übertragen werden. So ist eine betroffene Person nicht schutzwürdig, wenn sie die Informationen trotz zumutbarer Möglichkeit der Kenntnisnahme nicht liest.643 Zudem wäre ein Nachweis darüber, dass eine betroffene Person die Informationen tatsächlich gelesen und verstanden hat, in der Praxis – wenn überhaupt – jedenfalls kaum zu führen.644 Dies hätte zur Folge, dass Verantwortliche Einwilligungen in der Praxis nicht mehr rechtssicher einsetzen könnten, weil sie den entsprechenden Nachweis für deren Erteilung nicht erbringen könnten. Dies kann jedoch weder vom EuGH gewollt sein noch der DSGVO entsprechen.
338
Mithin muss der Verantwortliche nach hier vertretener Ansicht also grundsätzlich nicht nachweisen, dass eine betroffene Person die Informationen tatsächlich gelesen und verstanden hat. Der Verantwortliche bleibt allerdings nach Art. 7 Abs. 1 DSGVO verpflichtet, nachweisen zu können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.645 In diesem Zusammenhang ist durch die Gestaltung der Einwilligung sicherzustellen, dass der betroffenen Person eine zumutbare Möglichkeit zur Kenntnisnahme der Informationen eröffnet wird646 – hierfür ist der Verantwortliche dann auch gem. Art. 7 Abs. 1 DSGVO nachweispflichtig.
339
Nach ErwG 42 Satz 4 muss der Verantwortliche die betroffene Person mindestens darüber informieren, wer der Verantwortliche (Name bzw. Firma und Adresse) ist – bzw. im Fall der gemeinsamen Verantwortlichkeit i.S.d. Art. 26 DSGVO, wer die Verantwortlichen sind647 – und für welche Zwecke ihre Daten verarbeitet werden. Darüber hinaus sind im Einzelfall aber noch weitere Angaben erforderlich. So ist die betroffene Person im Fall einer Datenübermittlung darüber mitsamt der Angabe der Datenempfänger (Name bzw. Firma und Adresse) zu informieren.648 Auftragsverarbeiter müssen nach Auffassung des Europäischen Datenschutzausschusses aber nicht genannt werden.649 Des Weiteren ist über die zu verarbeitenden Daten zu informieren, wobei nach hier vertretener Ansicht die Angabe der Datenarten ausreichend ist.650 Außerdem ist die betroffene Person gem. Art. 7 Abs. 3 Satz 3 DSGVO über ihr Widerrufsrecht zu informieren. Soweit die Einwilligung auch den Datentransfer in ein Drittland gem. Art. 49 Abs. 1 Satz 1 lit. a DSGVO rechtfertigen soll, ist die betroffene Person zudem über die damit verbunden Gefahren und Risiken aufzuklären.651 Je nach Verarbeitungssituation können aber noch weitere Angaben erforderlich sein, so z.B. bei automatisierten Entscheidungen im Einzelfall gem. Art. 22 Abs. 2 lit. c DSGVO. Soweit möglich, sollte auch über die Dauer und die Modalitäten der Datenverarbeitung informiert werden.652 Beim Einsatz von Cookies ist nach Auffassung des EuGH (u.a.) über die Funktionsdauer der Cookies zu informieren.653 Darüber hinaus sollte die betroffene Person über die Folgen der Verweigerung der Einwilligung informiert werden.654 Dabei ist insbesondere sicherzustellen, dass – wenn die Einwilligung im Zusammenhang mit einem Vertrag erteilt werden soll – die betroffene Person bzgl. der (bestehenden oder nicht bestehenden) Möglichkeit, den Vertrag auch dann abzuschließen, wenn sie die Einwilligung verweigert, klar informiert und nicht, z.B. durch Vertragsbestimmungen, in die Irre geführt wird.655 Siehe ausführlich zu den beim Einsatz von Cookies für eine wirksame Einwilligung zu erteilenden Informationen § 25 TTDSG Rn. 34ff.
340
Nach hier vertretener Ansicht wäre es aber zu weitgehend, zwingend in jedem Einzelfall zu verlangen, dass die betroffenen Personen auch über sämtliche weiteren in Art. 13 bzw. Art. 14 DSGVO genannten Punkte informiert werden müssen, damit die anschließende Einwilligung informiert i.S.d. Art. 4 Nr. 11 DSGVO erfolgt.656 Die Informationspflichten aus Art. 13 bzw. Art. 14 DSGVO sind nicht mit den Anforderungen an eine informierte Einwilligung nach Art. 4 Nr. 11 DSGVO gleichzusetzen. Dies folgt bereits aus der Systematik der DSGVO. So unterscheidet der Verordnungsgeber zwischen der Informiertheit der Einwilligung i.S.d. Art. 4 Nr. 11 DSGVO einerseits und den Informationspflichten nach Art. 13 und 14 DSGVO andererseits und verweist in diesem Zusammenhang auch nicht etwa auf die jeweils andere Vorschrift. Besonders deutlich geht dies aus ErwG 42 Satz 4 hervor, der im Hinblick auf die Mindestinhalte der im Rahmen einer Einwilligung zur Verfügung zu stellenden Information eben gerade nicht auf Art. 13 und Art. 14 DSGVO verweist oder deren Inhalte wiederholt, sondern nur die oben unter Rn. 339 aufgeführten Punkte nennt.657
341
Entscheidend ist, dass der betroffenen Person alle Informationen zur Verfügung gestellt werden, die erforderlich sind, um die betroffene Person in die Lage zu versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen.658 Sie muss dabei über sämtliche Umstände informiert werden, die aus objektiver Sicht erforderlich sind, damit sie willentlich darüber entscheiden kann, ob sie der geplanten Datenverarbeitung zustimmt oder nicht.659 Hierbei verbietet sich eine schematische, generalisierende Betrachtungsweise. Vielmehr ist auf den jeweiligen Einzelfall abzustellen. Daher können die zu erteilenden Informationen im Einzelfall mit den nach Art. 13 bzw. Art. 14 DSGVO zu erteilenden Informationen übereinstimmen, müssen dies aber nicht. Jedenfalls ist es nicht erforderlich, um den Informiertheitsanforderungen des Art. 4 Nr. 11 DSGVO zu genügen, die betroffene Person über in Art. 13 bzw. Art. 14 DSGVO enthaltene Punkte zu informieren, wenn sie für den vorliegenden Fall nicht relevant sind. So sind z.B. regelmäßig keine Informationen über einen in Art. 13 bzw. Art. 14 DSGVO genannten Punkt erforderlich, wenn sich diese in reinen Negativinformationen erschöpfen würden, beispielweise dass kein internationaler Datentransfer erfolgt – es sei denn, dass eine solche Information ausnahmsweise für das Gesamtverständnis im Hinblick auf die Datenverarbeitung erforderlich ist.660 Ebenso ist z.B. keine Information nach Art. 13 Abs. 1 lit. d DSGVO bzw. Art. 14 Abs. 2 lit. b DSGVO erforderlich. Nach diesen Vorschriften ist die betroffene Person über die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden, zu informieren, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht. Dies ist jedoch hier nicht der Fall, da die Verarbeitung auf Basis einer Einwilligung erfolgt.
341a
Der EuGH scheint in seiner Entscheidung in Sachen Orange România/ANSPDCP insoweit allerdings eine engere Verbindung zwischen dem Tatbestandsmerkmal „in informierter Weise“ gem. Art. 4 Nr. 11 DSGVO und Art. 13 DSGVO anzunehmen, als sie hier vertreten wird. So scheint er Art. 4 Nr. 11 DSGVO im Lichte von Art. 13 DSGVO auszulegen, wenn er ausführt, dass das Erfordernis gem. Art. 4 Nr. 11 DSGVO, dass eine Einwilligung „in informierter Weise“ erfolgen muss, nach Art. 13 DSGVO i.V.m. Erwägungsgrund 42 bedeute, dass der Verantwortliche die betroffene Person über alle Umstände im Zusammenhang mit der Verarbeitung der Daten informieren müsse, insbesondere über die Art der zu verarbeitenden Daten, die Identität