in diesem Fall die weiteren Anforderungen an eine wirksame Einwilligung gewahrt sein, insb. die Informiertheit, und der Verantwortliche muss die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen können (siehe Art. 7 Rn. 33).684
352
Die Erteilung einer konkludenten Einwilligung ist allerdings ausnahmsweise ausgeschlossen, wenn die relevante Vorschrift (ausnahmsweise) eine ausdrückliche Einwilligung verlangt, so z.B. Art. 9 Abs. 2 lit. a (Verarbeitung besonderer Kategorien personenbezogener Daten), Art. 22 Abs. 2 lit. c (automatisierte Entscheidungen im Einzelfall) und Art. 49 Abs. 1 Satz 1 lit. a DSGVO (Übermittlung personenbezogener Daten in ein Drittland). Ebenso kann die Einwilligung nach hier vertretener Ansicht grundsätzlich auch zusammen mit anderen (z.B. schuldrechtlichen) Erklärungen durch eine einzige Handlung erteilt werden – vorausgesetzt, dass diese unmissverständlich ist.685
353
Eine Erteilung der Einwilligung durch Schweigen, bloßes Bestehenlassen eines angekreuzten Kästchens auf einer Webseite oder durch Untätigkeit ist hingegen gem. ErwG 32 Satz 3 nicht zulässig. Dies gilt ebenso für eine mutmaßliche Einwilligung.686 Somit liegt z.B. keine wirksame Einwilligung vor, wenn eine Datenverarbeitung mittels voreingestellter Ankreuzkästchen erlaubt wird, die die betroffene Person zur Verweigerung ihrer Einwilligung abwählen muss.687 Zum sogenannten „Nudging“ bzw. „Dark Patterns“ siehe die Ausführungen unter Rn. 318ff.688
354
Auf jeden Fall muss der Verantwortliche eine Form wählen, die es ihm ermöglicht, die Einwilligung gem. Art. 7 Abs. 1 DSGVO nachzuweisen.689
355
Des Weiteren ist es nach ErwG 32 Satz 2 auch möglich, eine Einwilligung durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft i.S.d. Art. 4 Nr. 25 DSGVO zu erteilen, also z.B. durch Browsereinstellungen. Allerdings erscheint es derzeit schwer vorstellbar, wie durch ein solches Verfahren die (anderen) Anforderungen an eine Einwilligung, insbesondere aus Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a, Art. 7 und Art. 8 DSGVO, gewahrt werden sollen, vor allem im Hinblick auf die Bestimmtheit (siehe oben Rn. 325ff.) und die Informiertheit (siehe oben Rn. 335ff.). Ebenso müsste eine aktive Auswahl der technischen Einstellungen erfolgen – das bloße Bestehenlassen der Voreinstellungen ist hingegen nicht ausreichend.690 Allerdings ist für den in diesem Zusammenhang besonders praxisrelevanten Fall der Einwilligung in Cookies zu erwarten, dass die sich bei Redaktionsschluss dieser Auflage noch im Gesetzgebungsverfahren befindliche ePrivacy-Verordnung Sonderregelungen enthalten wird, die ggf. eine Erteilung solcher Einwilligungen durch Browsereinstellungen auch praktisch durchführbar machen. Für den Anwendungsbereich des TTDSG siehe in diesem Zusammenhang auch § 26 TTDSG.
356
Wird die Einwilligung elektronisch erteilt, verlangt ErwG 32 Satz 6, dass die Aufforderung hierzu in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgt. Der Wortlaut der Vorschrift legt nahe, dass diese (nur) solche Einwilligungen erfasst, mittels derer ein Einwilligender seine Zustimmung zu einer Datenverarbeitung gibt, die für die Erbringung des Dienstes erforderlich ist.691 Damit wäre die Regelung in der Praxis weitgehend gegenstandslos, da in diesen Fällen die Datenverarbeitung ganz regelmäßig auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann. Es erscheint daher sachgerecht, ErwG 32 Satz 6 teleologisch so auszulegen, dass er auch Einwilligungen erfasst, die Datenverarbeitungen zum Gegenstand haben, die für die Erbringung des Dienstes nicht erforderlich sind, was z.B. in der Regel bei Werbeeinwilligungen der Fall ist.692 Banner-Einblendungen auf einer Webseite mit der Aufforderung zur Abgabe einer Einwilligung (z.B. in die Datenverarbeitung durch Cookies) sind nach hier vertretener Ansicht mit ErwG 32 S. 6 DSGVO aber vereinbar, zumindest soweit dies einmalig beim Betreten der Webseite erfolgt.693 Selbst wenn man sich auf den Standpunkt stellt, dass die Einblendung eines solchen Banners den Dienst unterbrechen würde, wäre die Unterbrechung in diesem Fall nicht „unnötig“, zumindest solange eine Einwilligungserteilung durch Auswahl technischer Einstellungen/Browsereinstellungen noch nicht möglich ist bzw. von den Nutzern noch nicht akzeptiert wird und keine anderen Verfahren verfügbar sind, die den Dienst nicht/weniger stark unterbrechen.694
357
Zu den Anforderungen aus ErwG 43 Satz 2 und ErwG 32 Satz 4 und 5, z.B. zur Granularität der Einwilligung, siehe oben Rn. 309ff. Soweit die datenschutzrechtliche Einwilligung zusammen mit anderen Willenserklärungen abgegeben wird oder die betroffene Person mittels der Einwilligung der Verarbeitung ihrer Daten zu mehreren Zwecken (gebündelt) zustimmen soll, ist es erforderlich, dass sich die Willensbekundung (auch) auf die datenschutzrechtliche Einwilligung und auf sämtliche darin enthaltenen Verarbeitungszwecke erstreckt.695
358
Wird die Einwilligung im Rahmen von AGB erteilt, gelten besondere formale Anforderungen (siehe hierzu ausführlich Art. 7 Rn. 53ff.).
cc) Einwilligungsfähigkeit
359
Schließlich setzt Art. 4 Nr. 11 DSGVO zumindest indirekt noch voraus, dass die betroffene Person einwilligungsfähig ist. Dies ist sie, wenn sie einsichtsfähig ist.696 Auch Minderjährige, also Personen unter 18 Jahren, können daher wirksam in die Verarbeitung ihrer Daten einwilligen – vorausgesetzt, dass sie insoweit einsichtsfähig sind. Dies ist im jeweiligen Einzelfall zu prüfen (siehe ausführlich zur Einwilligungsfähigkeit Art. 6 Rn. 30f.). Etwas anderes gilt jedoch für den Fall, dass die Einwilligung im Rahmen eines Angebots von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, eingeholt wird. Hier gilt nach Art. 8 Abs. 1 Satz 1 DSGVO eine starre Altersgrenze von 16 Jahren (siehe ausführlich hierzu Art. 8 Rn. 3ff., 13ff.).697
c) Zeitpunkt und Wirksamkeitsdauer der Einwilligung
360
Die Einwilligung ist von der betroffenen Person vor Beginn der Datenverarbeitung zu erteilen, die durch die Einwilligung gerechtfertigt werden soll.
361
Die DSGVO gibt keine feste maximale Geltungsdauer einer Einwilligung vor.698 Insbesondere erlischt eine Einwilligungserklärung auch nicht automatisch durch Zeitablauf – vielmehr müssen sachliche Gründe dafür bestehen, dass eine Datenverarbeitung nicht mehr auf eine Einwilligung gestützt werden kann, z.B. dass der Verarbeitungszweck, für den die Einwilligung erteilt wurde, entfallen ist.699 Somit kann eine Einwilligungserklärung ggf. auch für die Dauer des gesamten Lebens der betroffenen Person wirksam sein. Allerdings empfiehlt der Europäische Datenschutzausschuss als „best practice“, die Einwilligung in angemessenen Zeitabständen „aufzufrischen“, damit die betroffene Person informiert bleibt.700
362
Etwas anderes gilt jedoch, wenn die Wirksamkeitsdauer in der Einwilligung zeitlich befristet wurde. Dann gilt die Einwilligung nur bis zu diesem Zeitpunkt. Ebenfalls ist eine neue Einwilligung einzuholen, wenn sich die Verarbeitungsvorgänge gegenüber der in der (ursprünglichen) Einwilligung beschriebenen erheblich ändern oder weiterentwickeln.701 So ist auch eine neue Einwilligung von der betroffenen Person einzuholen, wenn auf Basis einer Einwilligung verarbeitete personenbezogene Daten nun für einen anderen Zweck verarbeitet werden sollen, der von der (ursprünglichen) Einwilligung nicht erfasst wird und die Verarbeitung für diesen anderen Zweck nicht auf eine gesetzliche Erlaubnis gestützt werden kann.702 Abzulehnen ist die Verwirkung einer Einwilligung, bloß weil der Verantwortliche von ihr keinen Gebrauch macht, da dies eine nicht hinnehmbare Rechtsunsicherheit bedeuten würde, sich im Wortlaut der DSGVO kein Hinweis darauf findet, die Problematik durchaus bekannt war, ohne dass der Verordnungsgeber sie aufgegriffen hätte, und die betroffene Person insoweit nicht schutzbedürftig ist, da sie die Wirksamkeit der Einwilligung zu jeder Zeit selbst durch einen Widerruf aufheben kann.703
363
Aus