setzt der EuGH in seinen Ausführungen Art. 4 Nr. 11 DSGVO auch nicht mit Art. 13 DSGVO gleich, da er eben insoweit nicht einfach verlangt, dass die betroffene Person über die in dieser Vorschrift aufgeführten Punkte zu informieren sei. Mithin kann aus dieser Entscheidung des EuGH nach hier vertretener Auffassung nicht entnommen werden, dass dieser zwingend in jedem Fall verlangen würde, dass die betroffene Person über die in Art. 13 bzw. Art. 14 DSGVO aufgeführten Punkte informiert werden muss, damit die Einwilligung i.S.d. Art. 4 Nr. 11 DSGVO informiert erfolgt.662
342
Ganz generell empfiehlt es sich aber aus Gründen der Rechtssicherheit, sich bei der Information des Einwilligenden an Art. 13 bzw. Art. 14 DSGVO zu orientieren (siehe Art. 6 Rn. 38). Gerade bei komplexen Datenverarbeitungen kann es zudem sinnvoll sein – wie unter Rn. 345 erläutert wird –, die für die Erteilung der Einwilligung erforderlichen Informationen im Wege eines Mehrebenenansatzes zur Verfügung zu stellen und dabei in der Einwilligung auf die Datenschutzerklärung als eine nachgelagerte Informationsebene zu verlinken, zumal die Informationspflichten nach Art. 13f. DSGVO ohnehin erfüllt werden müssen, auf diese Weise Synergien genutzt werden können und so zugleich auch sichergestellt wird, dass die Informationen nach Art. 13f. DSGVO rechtzeitig erteilt werden.663 Allerdings sind die Informationspflichten aus Art. 4 Nr. 11 DSGVO und Art. 13 bzw. Art. 14 DSGVO – wie soeben erläutert – nach hier vertretener Ansicht nicht deckungsgleich, sodass ein Verstoß gegen die in Art. 13 bzw. Art. 14 DSGVO enthaltenen Informationspflichten, die über die Informationspflichten nach Art. 4 Nr. 11 DSGVO hinausgehen, nicht zur Unwirksamkeit der Einwilligung führt (ausführlich zur Informiertheit der Einwilligung Art. 6 Rn. 37ff.; siehe zu den Besonderheiten im Beschäftigungsverhältnis auch § 26 Abs. 2 BDSG).664 Zu den Anforderungen aus ErwG 43 S. 2 und ErwG 32 S. 4 und 5, insbesondere zur Transparenz und zur Granularität, siehe oben Rn. 309ff.
343
Fehlvorstellungen, denen die betroffene Person trotz hinreichender Information i.S.d. Art. 4 Nr. 11 DSGVO unterliegt, gehen zu ihren Lasten, da der Verantwortliche nach hier vertretener Ansicht nur die hinreichende Information, nicht aber einen Erfolg dergestalt schuldet, dass die betroffene Person die geplante Datenverarbeitung auch richtig erfasst hat.665 Die Einwilligung ist also auch in einem solchen Fall wirksam (sofern die übrigen Voraussetzungen vorliegen), kann aber ggf. gem. Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft widerrufen werden.
344
Im Hinblick auf die Art und Weise der Information hat der Verantwortliche die Information so zu verfassen, dass der primäre Adressatenkreis, an den die Einwilligung gerichtet ist, diese versteht – und zwar unter Berücksichtigung von dessen (inhaltlichen) Vorkenntnissen, dessen Verständnisniveau sowie von dessen Sprachkenntnissen.666 Der Umfang der Einwilligung muss so gestaltet werden, dass der Einwilligende diesen auch in der Lebenswirklichkeit zur Kenntnis nehmen kann – die Information also nicht so lang/umfangreich ist, dass sie nicht mehr gelesen wird –,667 sodass gerade bei komplexen Datenverarbeitungen vor diesem Hintergrund insoweit eine gewisse Unschärfe bei der Information erforderlich sein kann.
345
Gegebenenfalls kann es ein probates Mittel sein, die Informationen durch mehrschichtige Hinweise („multilayered notice“) zu vermitteln, bei denen die betroffene Person auf der ersten Ebene über alle wesentlichen Umstände informiert wird, sodass sie sich hierdurch schon ein Bild von der Datenverarbeitung machen kann und sie nach dem Klicken auf mit einem Link hinterlegte Begriffe auf eine zweite Ebene geleitet wird, wo sich detaillierte Informationen zu den Einzelheiten des jeweiligen Begriffs bzw. des jeweiligen Abschnitts befinden.668 Soweit es zur besseren Verständlich- und Übersichtlichkeit erforderlich bzw. sinnvoll ist, kann auch noch eine dritte Ebene vorgesehen werden.669 Allerdings darf die Verwendung mehrerer Ebenen auch nicht dazu führen, dass die Kenntnisnahme der Informationen für die betroffene Person mit einem unverhältnismäßigen Aufwand verbunden wäre.670 Medienbrüche sind hierbei grundsätzlich zu vermeiden, können aber ggf. zulässig sein, wenn sie sich aufgrund der Eigenart des jeweiligen Mediums nicht vermeiden lassen.671 Gegebenenfalls kann die Information der betroffenen Person auch zusätzlich mit Hilfe von Bildsymbolen erfolgen.672 In jedem Fall ist bei der Information der betroffenen Person aber sicherzustellen, dass die Informationen für sie leicht zugänglich sind und sie diese in zumutbarer Weise zur Kenntnis nehmen kann (vgl. zur Art und Weise der Information auch Art. 7 Rn. 66ff.).
346
Keine ausdrücklichen Vorgaben enthält die DSGVO im Hinblick auf die Form der Information, sodass diese z.B. schriftlich, in Textform, elektronisch oder mündlich ergehen kann. Allerdings ist darauf zu achten, dass der Verantwortliche nach Art. 7 Abs. 1 DSGVO verpflichtet ist, die Einwilligung und damit auch die Information der betroffenen Person nachzuweisen (siehe zu den Anforderungen an den Nachweis einer Einwilligung Art. 7 Rn. 46ff.).
347
Erfolgt die Einwilligung/Information im Rahmen von AGB, enthält Art. 7 Abs. 2 DSGVO noch weitere Voraussetzungen (siehe hierzu ausführlich Art. 7 Rn. 53ff.).
b) Formale Anforderungen der Einwilligung
aa) Erteilung durch die betroffene Person
348
Weitere Voraussetzung für eine wirksame Einwilligungserklärung ist, dass sie von der betroffenen Person erteilt wird, also von der Person, auf die sich die zu verarbeitenden personenbezogenen Daten beziehen. Dies bedeutet jedoch nicht, dass die Einwilligung in jedem Fall von der betroffenen Person selbst abgegeben werden muss. So ist die Erteilung einer Einwilligung bei Vorliegen der entsprechenden Voraussetzungen durch gesetzliche Vertreter zulässig.673 Ebenso ist die Erteilung durch einen Boten zulässig.674 Zur Wirksamkeit einer durch einen (bevollmächtigten) Stellvertreter erteilten Einwilligung siehe ausführlich Art. 7 Rn. 14f.
bb) Unmissverständliche Erteilung der Einwilligung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung/Form der Einwilligung
349
Außerdem setzt Art. 4 Nr. 11 EU-DSGVO voraus, dass die Einwilligung unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erteilt wird, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist (ausführlich zu dieser formalen Anforderung Art. 6 Rn. 42f., Art. 7 Rn. 29ff., siehe auch oben Rn. 295f.). Ob eine Einwilligung vorliegt, ist aus dem objektiven Empfängerhorizont zu beurteilen.675
350
Die Erklärung ist dabei an keine bestimmte Form gebunden und kann gem. ErwG 32 z.B. schriftlich, elektronisch oder mündlich ergehen.676 Eine eindeutige bestätigende Handlung liegt vor, wenn die betroffene Person durch eine bewusste/vorsätzliche aktive Handlung in eine bestimmte Datenverarbeitung eingewilligt hat.677 Mithin kann eine Einwilligung z.B. mittels Unterschrift unter einer papiergebundenen Einwilligungserklärung, Anklicken einer Schaltfläche oder Ankreuzen eines Kästchens erteilt werden.678 Schaltflächen sind dabei so zu bezeichnen, dass für die betroffene Person klar ersichtlich ist, dass bei ihrer Betätigung eine Einwilligung erteilt wird (z.B. „Zustimmen“, „Einverstanden“, Einwilligung erteilen“; nicht ausreichend: „OK“, „Verstanden“ oder „Weiter“).679
351
Eine ausdrückliche Einwilligung ist grundsätzlich nicht erforderlich.680 Vielmehr kann die betroffene Person auch durch konkludentes oder schlüssiges Verhalten in die Verarbeitung ihrer Daten einwilligen.681 In diesem Zusammenhang erscheint es – auch nach der Entscheidung des EuGH in Sachen „Planet49“ – nicht vollkommen ausgeschlossen, dass eine betroffene Person durch die aktive Weiternutzung einer Webseite eine Einwilligung erteilt (z.B. in die Verarbeitung personenbezogener Daten durch Cookies).682 Allerdings muss diesem Verhalten ein eindeutiges Erklärungsbewusstsein der betroffenen Person zu entnehmen sein, das einen