Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen
Rechtslage bis zum 24. Mai 2018 (Bundesdatenschutzgesetz a.F.)
Im Bundesdatenschutzgesetz (BDSG) in der bis zum 24. Mai 2018 geltenden Fassung galt als allgemeiner Grundsatz ein Verbot mit Erlaubnisvorbehalt: die Erhebung, Verarbeitung und Nutzung personenbezogener Daten waren gemäß § 4 Bundesdatenschutzgesetz (BDSG) verboten, außer falls eine Rechtsnorm dies ausdrücklich erlaubte oder anordnete oder der Betroffene dazu seine Einwilligung erklärte.[1]
§ 4a I BDSG regelte die Voraussetzungen einer rechtmäßigen Einwilligung:
Die Einwilligung muss persönlich durch den Betroffenen erfolgen
Die Einwilligung muss vor Erhebung, Verarbeitung oder Nutzung der Daten erfolgen (ex nunc)
Die Einwilligung muss grundsätzlich schriftlich erfolgen
Die Einwilligung muss freiwillig erfolgen
die Einwilligung wird nicht in einer Zwangslage oder unter Druck getroffen
eine Verweigerung der Einwilligung ist ohne Befürchtung von Sanktionen möglich
ein Widerruf der Einwilligung einer zuvor erteilte Einwilligung ist folgenlos
Es muss auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung hingewiesen werden
Es muss auf Folgen der Verweigerung hingewiesen werden, soweit nach Umständen des Einzelfalles erforderlich oder auf Verlangen
Die Einwilligung muss besonders hervorgehoben werden, falls sie zusammen mit anderen Erklärungen schriftlich erteilt werden soll
Soll sie für die Verarbeitung besonderer Arten von personenbezogenen Daten gelten (z. B. Gesundheitsdaten, rassische oder ethnische Herkunft etc., vgl. § 3 Abs. 9 BDSG), muss sie sich ausdrücklich auf diese beziehen.
Falls es sich um besondere Arten personenbezogener Daten gemäß § 3 Abs. 9 BDSG (unter anderem Gesundheitsdaten und Informationen über die ethnische Herkunft) handelte, musste sich eine Einwilligung nach § 4a III BDSG ausdrücklich auf diese Daten beziehen.
Nach § 4a I BDSG wurde eine Schriftform nicht benötigt, falls wegen besonderer Umstände auch eine andere Form angemessen war.
Des Weiteren bestanden nach § 4a II BDSG insbesondere für die Wissenschaft Ausnahmen bezüglich der Schriftform. Falls der Forschungszweck durch eine Schriftform erheblich beeinträchtigt würde, konnte eine andere Form ausreichen. Der Hinweis auf den Zweck und die Folgen einer Verweigerung sowie die Gründe, aus denen sich die erhebliche Beeinträchtigung des bestimmten Forschungszwecks ergab, waren in diesem Fall schriftlich festzuhalten.
Gemäß § 28 Abs. 3a und 3b BDSG konnte die Einwilligung in die Verarbeitung oder Nutzung personenbezogener Daten für Zwecke der Werbung sowie des Adresshandels auch elektronisch erfolgen.[1]
Die tatsächliche Freiwilligkeit von Einwilligungen im Arbeitsverhältnis wurde von Datenschutzbeauftragten des Bundes und der Länder als fraglich angesehen.[2] Begründet wurde dies mit der zwischen den Arbeitsvertragsparteien bestehenden unterschiedlichen Machtstruktur.
Falls die verantwortliche Stelle, die eine Einwilligung einholen wollte, eine Monopolstellung besaß, war die Freiwilligkeit fraglich, da eine Zwangslage vorherrschen konnte.[1] In diesem Fall konnte ein Koppelungsverbot vorliegen.
Die datenschutzrechtliche Einwilligung wurde im Zusammenhang mit Diensten der Informationsgesellschaft wiederholt als Fiktion kritisiert.[3][4][5][6]
Rechtslage seit dem 25. Mai 2018 (Datenschutz-Grundverordnung)
Die Verarbeitung personenbezogener Daten ist danach nur rechtmäßig, wenn ein Erlaubnistatbestand gegeben ist. Dazu zählt, dass die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat (Art. 6 Abs. 1 lit. a DSGVO).
Einwilligung der betroffenen Person im Sinne der DSGVO ist „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ (Art. 4 Nr. 11 DSGVO).
Art. 7 Abs. 2–4 DSGVO macht die Wirksamkeit der Einwilligung von bestimmten Bedingungen abhängig:
Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
In der Praxis üblich sind beispielsweise sog. Consent-Banner.
Verarbeitung personenbezogener Daten für Zwecke eines Straf- oder Ordnungswidrigkeitenverfahrens
Die DSGVO ist auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit nicht anwendbar (Art. 2 Abs. 2 lit. d DSGVO).
Gerichte, Strafverfolgungsbehörden einschließlich Vollstreckungsbehörden, Bewährungshelfer, Aufsichtsstellen bei Führungsaufsicht und die Gerichtshilfe dürfen personenbezogene Daten grundsätzlich ohne oder auch gegen den Willen der betroffenen Personen in Dateisystemen verarbeiten, soweit dies für Zwecke des Strafverfahrens erforderlich ist (§ 483 StPO).
Soweit für polizeiliche oder strafprozessuale Maßnahmen überhaupt eine Einwilligung der betroffenen Person erforderlich ist, etwa für die Atemalkoholbestimmung,[7] gilt seit dem 25. Mai 2018 die Neuregelung in § 51 BDSG.[8][9] Soweit öffentliche Stellen der Länder im Anwendungsbereich der Strafprozessordnung personenbezogene Daten verarbeiten, ist Teil 3 des Bundesdatenschutzgesetzes entsprechend anzuwenden (§ 500 Abs. 1 StPO).
§ 51 BDSG kombiniert Elemente aus Art. 7 der DSGVO mit dort nicht enthaltenen Elementen des § 4a BDSG a. F. § 51 Abs. 1 BDSG entspricht Art. 7 Abs. 1 DSGVO, § 51 Abs. 2 BDSG Art. 7 Abs. 2 DSGVO und § 51 Abs. 3 BDSG Art. 7 Abs. 3 DSGVO. In § 51 Abs. 4 BDSG wurde der Ansatz aus § 4a Absatz 1 BDSG a. F. mit dem Gedanken aus Art. 7 Abs. 4 DSGVO angereichert, wonach für die Beurteilung der Frage, ob die Freiwilligkeit der Einwilligung vorliegt, wesentlich auf die Umstände der Erteilung abzustellen ist. § 51 Abs. 5 BDSG entspricht § 4a Abs. 3 BDSG a. F.[10]
Literatur
Marlene Voigt: Die datenschutzrechtliche Einwilligung. Zum Spannungsfeld von informationeller Selbstbestimmung und ökonomischer Verwertung personenbezogener Daten. Schriften zum Medien- und Informationsrecht 48, Nomos-Verlag 2020. Zugl.: Univ.-Diss., Freiburg 2020. ISBN 978-3-8487-7831-7 (Inhaltsverzeichnis PDF – Leseprobe)
Michael Funke: Dogmatik und Voraussetzungen der datenschutzrechtlichen Einwilligung im Zivilrecht. Unter besonderer Berücksichtigung der Datenschutz-Grundverordnung. Nomos-Verlag, 2017. ISBN 978-3-8487-4124-3.
Maximilian Heller: Rechtliche Einordnung der datenschutzrechtlichen Einwilligung. 29. Dezember 2019 (de.linkedin.com).
Matthias Stief: Die Richtlinie (EU) 2016/680 zum Datenschutz in der Strafjustiz und die Zukunft der datenschutzrechtlichen Einwilligung im Strafverfahren.StV 2017, S. 470 ff.
↑ abcEinwilligung. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, archiviert vom Original (nicht mehr online verfügbar) am 24. September 2015; abgerufen am 20. September 2015.Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.bfdi.bund.de
↑Entschließung. (PDF) Beschäftigtendatenschutz nicht abbauen, sondern stärken! Konferenz der Datenschutzbeauftragten des Bundes und der Länder, 25. Januar 2013, ehemals im Original (nicht mehr online verfügbar); abgerufen am 20. September 2015.@1@2Vorlage:Toter Link/www.datenschutz-berlin.de (Seite nicht mehr abrufbar. Suche in Webarchiven) Info: Der Link wurde automatisch als defekt markiert. Bitte prüfe den Link gemäß Anleitung und entferne dann diesen Hinweis.
↑Buchner, Benedikt; Kühling, Jürgen: Bedingungen für die Einwilligung. In: Kühling, Jürgen; Buchner, Benedikt (Hrsg.): DS-GVO Kommentar. 2. Auflage. C.H.Beck Verlag, München 2018, S.284ff.
↑Yoan Hermstrüwer: Informationelle Selbstgefährdung. Zur rechtsfunktionalen, spiel-theoretischen und empirischen Rationalität der datenschutzrechtlichen Einwilligung und des Rechts auf informationelle Selbstbestimmung. Mohr Siebeck, Tübingen 2016, S.4.
↑Kamp, Meike; Rost, Martin: Kritik an der Einwilligung. Ein Zwischenruf zu einer fiktiven Rechtsgrundlage in asymmetrischen Machtverhältnissen. In: Datenschutz und Datensicherheit (DuD). Nr.2/2013. Springer, 2013, S.80–83.
↑Rothmann, Robert; Buchner, Benedikt: Der typische Facebook-Nutzer zwischen Recht und Realität - Zugleich eine Anmerkung zu LG Berlin v. 16.01.2018. In: Datenschutz und Datensicherheit (DuD), Recht und Sicherheit in Informationsverarbeitung und Kommunikation. Vol. 42, Nr.6. Springer Gabler Verlag, Wiesbaden Juni 2018, S.342–346, doi:10.1007/s11623-018-0953-x.
↑§ 51 BDSG in der Fassung des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) vom 30. Juni 2017, BGBl. I S. 2097
↑BT-Drs. 18/11325 vom 24. Februar 2017. Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU), S. 112.
