Welche Voraussetzungen gelten?
Die betroffene Person muss erkennen können, wer welche Daten wofür verwenden möchte. Eine Einwilligung für unbestimmte spätere Zwecke genügt grundsätzlich nicht. Werden unterschiedliche Verarbeitungen zusammengefasst, ist zu prüfen, ob eine getrennte Entscheidung ermöglicht werden muss. Die Zustimmung erfordert eine eindeutige bestätigende Handlung. Schweigen und Untätigkeit reichen regelmäßig nicht aus. Bei besonderen Datenkategorien, beispielsweise Gesundheitsdaten, gelten zusätzliche Anforderungen; soweit auf Einwilligung gestützt, muss diese grundsätzlich ausdrücklich sein. Auch einschlägige Sonderregeln, etwa für bestimmte Angebote an Kinder, sind gesondert zu beachten.
Wann ist die Entscheidung freiwillig?
Eine echte Wahlmöglichkeit darf nicht durch unangemessenen Druck ausgehöhlt werden. Problematisch kann insbesondere sein, eine Leistung von einer Zustimmung abhängig zu machen, obwohl die betreffende Datenverarbeitung für den Vertrag nicht erforderlich ist. Nicht jede Verbindung führt automatisch zur Unwirksamkeit; die Umstände müssen jedoch sorgfältig bewertet werden. In Abhängigkeitsverhältnissen, etwa im Arbeitsverhältnis, ist Freiwilligkeit besonders kritisch. Die Möglichkeit, eine Einwilligung abzulehnen oder später zu widerrufen, sollte praktisch funktionieren und nicht nur theoretisch im Hinweistext stehen.
EuGH-Urteil zu vorformulierten Zustimmungsklauseln
Der Europäische Gerichtshof entschied am 11. November 2020, C‑61/19, im Fall Orange România über die Speicherung von Ausweiskopien. Eine Vertragsunterzeichnung belegt nicht ohne Weiteres eine wirksame Einwilligung, wenn eine vorangekreuzte Klausel verwendet wird. Auch zusätzliche Hürden bei einer Ablehnung können gegen Freiwilligkeit sprechen. Der Verantwortliche muss die wirksame Zustimmung nachweisen können. Das Urteil verbietet nicht jede formularmäßige Einwilligung, verlangt aber eine tatsächliche, informierte und freie Entscheidung. Die Gestaltung des gesamten Abschlussvorgangs ist deshalb ebenso wichtig wie der einzelne Klauseltext.
Wie funktioniert der Widerruf?
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf muss so einfach wie die Erteilung sein. Die Rechtmäßigkeit der bisherigen Verarbeitung wird dadurch nicht rückwirkend beseitigt. Für die Zukunft muss geklärt werden, welche Verarbeitungen beendet werden und ob Daten aus anderen rechtmäßigen Gründen weiter gespeichert werden müssen. Ein Widerruf ist weder automatisch eine Vertragskündigung noch in jedem Fall mit vollständiger sofortiger Löschung gleichzusetzen. Über das Widerrufsrecht muss bereits vor der Einwilligung informiert werden.
Was muss dokumentiert werden?
Verantwortliche sollten Inhalt, Zeitpunkt, Umfang und Erteilungsweg nachvollziehbar belegen können. Bei elektronischen Vorgängen kann die jeweilige Textversion wichtig sein, weil sich Formulare später ändern. Ein bloßer Datenbankeintrag mit dem Wort Zustimmung beantwortet häufig nicht, worüber die Person informiert wurde. Zugleich darf die Nachweisdokumentation nicht zu einer unbegrenzten zusätzlichen Datensammlung führen. Bei geänderten Zwecken oder wesentlich erweitertem Umfang ist zu prüfen, ob eine neue Einwilligung benötigt wird. Eine alte Zustimmung lässt sich nicht beliebig auf neue Nutzungen ausdehnen.
Was sollten Betroffene und Unternehmen prüfen?
Betroffene sollten vor einer Zustimmung Zweck, Empfänger und Widerrufsmöglichkeiten nachvollziehen können. Unternehmen sollten ihre Einwilligungstexte mit den tatsächlich gestarteten Datenverarbeitungen abgleichen. Fehlt eine wirksame Einwilligung, ist eine Verarbeitung nicht allein deshalb erlaubt, weil der Verantwortliche sie für nützlich hält. Die passende Rechtsgrundlage muss tatsächlich vorliegen und transparent behandelt werden. Bei Streit helfen gespeicherte Formulare, Bildschirmansichten, Zeitpunkte und die konkret verwendete Textfassung, um die behauptete Zustimmung überprüfbar einzuordnen.