Aufklärung und Einwilligung – oder: Warum eine freiwillige Einwilligung Informiertheit voraussetzt

Die Datenschutz-Grundverordnung ist ein Verbotsgesetz mit Erlaubnisvorbehalt. Das bedeutet, dass die Verarbeitung personenbezogener Daten grundsätzlich verboten ist; außer ein Gesetz erlaubt die Verarbeitung oder die betroffene Person hat ihre Einwilligung erteilt.

Die Einwilligung ist dabei neben den echten Rechtsgrundlagen des Art. 6 DSGVO ein zentrales Mittel zur Rechtfertigung von Datenverarbeitungsvorgängen. Insbesondere die Praxis greift auf dieses Instrument gerne zurück, weil es den Anschein erweckt, eine leicht handhabbare und sichere Rechtfertigung zu bieten. Oft wird dabei aber übersehen, dass die Einwilligung eine eher unsichere Legitimationsgrundlage ist, da sie jederzeit gem. Art. 7 Abs. 3 DSGVO widerrufen werden kann. Doch auch die richtige Umsetzung einer auf die Einwilligung des Betroffenen gestützten Datenverarbeitung ist anforderungsreicher als der erste Anschein vermuten lässt.

Voraussetzungen einer wirksamen Einwilligung

Art 7 DSGVO nennt mehrere Voraussetzungen, die vorliegen müssen, um von einer wirksamen Einwilligung auszugehen. Nach Absatz 2 muss der Gegenstand und Umfang der Einwilligung für den Betroffenen klar ersichtlich sein. Das heißt, die Einwilligungserklärung muss „in einer klaren und einfachen Sprache so erfolgen, dass [sie] von den anderen Sachverhalten klar zu unterscheiden ist“. Absatz 4 legt weiterhin fest, dass die Einwilligung freiwillig erfolgen muss, was insbesondere dann nicht der Fall ist, wenn die Einwilligung an andere Vorteile gekoppelt ist (sog. Kopplungsverbot). Auch die Erwägungsgründe zur DSGVO konkretisieren die Voraussetzungen weiter. So bestimmt Erwägungsgrund 32 der DSGVO: „Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, …“. Hinzu kommt danach die Informiertheit desjenigen, der in die Verarbeitungstätigkeit einwilligt. Um die Bedeutung dieser Voraussetzung und den Zusammenhang zwischen einer freiwilligen und informierten Einwilligung soll es im Folgenden gehen.

Wer bestimmt den Inhalt der Einwilligung? – der Grund der Informiertheit

Natürlich der Verantwortliche. Denn dieser gibt der Datenverarbeitung einen Zweck vor, angesichts dessen sich der Betroffene entscheiden kann, ob er die Datenverarbeitung möchte oder eben nicht. Während im Rahmen eines Vertrages regelmäßig ein Aushandeln über den Inhalt zwischen den Parteien vorliegt, kann der Betroffene in die Datenverarbeitung nur einwilligen oder nicht. Anders also als im Strafrecht, bestimmt im Datenschutzrecht demnach nicht der Einwilligende den Umfang der Einwilligung, sondern der Adressat bzw. Empfänger der Einwilligung – also, der für die Datenverarbeitung Verantwortliche. Das bedeutet: wer den Zweck der Datenverarbeitung bestimmt, bestimmt damit zugleich dessen Umfang.

Es zeigt sich, dass – entgegen dem ersten Eindruck – die Einwilligung dem Verantwortlichen weit mehr Spielraum einräumt als dem Einwilligenden, der zwar das „Ob“ nicht aber das „Wie“ der Datenverarbeitung beeinflussen kann. Gerade deshalb legt das Gesetz mit der Freiwilligkeit und Informiertheit zwei zwingende Voraussetzungen fest, die erfüllt sein müssen, um dieses Ungleichgewicht zwischen betroffener Person und Verantwortlichem zu korrigieren.

Freiwilligkeit und Informiertheit der Einwilligung

Freiwilligkeit und Informiertheit der Einwilligung sind zwei Seiten derselben Medaille. Besonders deutlich wird dieser Zusammenhang in Art. 49 Abs. 1 S. 1 lit. a) DSGVO. Eine Auslandsübermittlung ohne geeignete Garantien ist hiernach ausnahmsweise dann zulässig, wenn die betroffene Person ausdrücklich einwilligt, „nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde, …“. Meiner Ansicht nach gilt die Einwilligung nur dann als freiwillig erteilt, wenn der Betroffene zuvor über die Bedeutung seiner Einwilligung informiert wurde. Dieser Zusammenhang weist über das Datenschutzrecht hinaus auf ein aufgeklärtes Freiheitsverständnis.

Freiheit: mehr als die Abwesenheit von äußerem Zwang

Dass Freiheit mehr voraussetzt als die Abwesenheit äußerer Zwänge, gilt spätestens seit Kant als philosophisch bekannt. Bereits der Begriff „Freiwilligkeit“ beinhaltet eine positive Voraussetzung, nämlich eine freie Willigkeit, d.h. einen frei gebildeten Willen. Der Wille des Betroffenen ist der tragende Grund der Einwilligung – auch hier schon dem Begriff nach (Ein-willigung). Eingebürgert hat sich hierfür die Unterscheidung zwischen einer bloß negativen Freiheit von äußeren Zwängen und einer auch positiven Freiheit zur selbstbestimmten Entscheidung. Diese qualifizierte Freiheit setzt die Einsicht in den Gegenstand voraus, in den die betroffene Person einwilligt. Ein freier Wille, wie ihn die Freiwilligkeit voraussetzt, umfasst daher ein intelligentes Wollen oder wie Hegel es pointiert formuliert hat: Der freie Wille, der Grundlage des Rechts ist, ist die Einheit aus Wissen und Wollen (vgl. Enzyklopädie der philosophischen Wissenschaften, § 481). Das Wollen des Betroffenen kann nur dann als Ausdruck seiner Selbstbestimmung gelten, wenn er versteht, was er will, wenn er seine Einwilligung erklärt.

Im Rahmen der Einwilligung in die Datenverarbeitung hat das zur Folge, dass die betroffene Person überblicken muss, auf was sie sich einlässt, wenn sie in eine Datenverarbeitung einwilligt. Nur dann ist die Einwilligung auch Ausdruck einer selbstbestimmten Verfügung über ihre Daten und entfalten für den Verantwortlichen rechtfertigende Wirkung.

Fazit

Der Erwägungsgrund 32 weist damit auf etwas hin, was letztlich schon im Begriff der Einwilligung selbst steckt und sie zu einem anspruchsvolleren Rechtfertigungsgrund macht, als es den Anschein hat. Wirksam ist die Einwilligung nur, wenn sie Ausdruck von informierter Selbstbestimmung ist. Nur dann ist sie freiwillig im eigentlichen Sinne des Wortes. Neben Erwägungsgrund 32 und Art. 49 DSGVO wird das auch an Art. 8 DSGVO deutlich, der besonderen Voraussetzungen für die Einwilligung von Kindern festlegt. Da Art. 7 Abs. 1 DSGVO den Verantwortlichen verpflichtet, den Nachweis für die Freiwilligkeit zu führen, d.h. auch den Nachweis für die Informiertheit des Betroffenen, sollten die bereitgestellten Informationen im Rahmen der Einwilligungserklärung dokumentiert werden. Das kann mit einem erheblichen Aufwand verbunden sein, sodass auf die Einwilligung nur dann zurückgegriffen werden sollte, wenn eine eindeutige Rechtsgrundlage die Verarbeitung nicht rechtfertigen kann.

Sollten Sie Fragen zum Einsatz der Einwilligungserklärung als Rechtsgrundlage einer Datenverarbeitung haben oder Unterstützung bei der Information der betroffenen Person benötigen, stehen wir Ihnen selbstverständlich gern zur Verfügung.