Die Einwilligung kann nur dann als Rechtsgrundlage für die Verarbeitung personenbezogener Daten herangezogen werden, wenn die betroffene Person eine echte Wahl hat, ob sie die Bedingungen annimmt oder ablehnt, ohne dass ihr daraus Nachteile entstehen.

Da die Einwilligung jederzeit widerrufen werden kann, gilt sie als die „fragilste“ Grundlage für die Verarbeitung. Deshalb sollten die Verantwortlichen prüfen, ob für die rechtmäßige Verarbeitung der Daten eine andere Rechtsgrundlage in Betracht kommt.

Geltungsdauer der Einwilligung

Die Einwilligung muss eingeholt werden, bevor der Verantwortliche mit der Verarbeitung personenbezogener Daten beginnt, wenn sie die Rechtsgrundlage der Verarbeitung bildet.

Die Datenschutz-Grundverordnung (DSGVO) legt keine bestimmte Geltungsdauer der erteilten Einwilligung fest. Gleichwohl empfehlen die Aufsichtsbehörden ihre regelmäßige Erneuerung als bewährte Praxis.

Anforderungen an die Wirksamkeit der Einwilligung

Um rechtlich wirksam zu sein, muss die Einwilligung der betroffenen Person mehreren wesentlichen Anforderungen genügen, die der Verantwortliche bei einer etwaigen Prüfung durch die Aufsichtsbehörde nachzuweisen hat.

Die Einwilligung muss freiwillig erteilt sein

Um als freiwillig zu gelten, muss die Einwilligung der betroffenen Person eine echte Wahl und Kontrolle einräumen.

Die Einwilligung ist nicht wirksam, wenn sich die betroffene Person aus Furcht vor Nachteilen zu ihrer Erteilung gedrängt fühlt.

So kann sich beispielsweise im Rahmen eines Arbeitsverhältnisses der Beschäftigte nicht frei fühlen, die Einwilligung in die Verarbeitung seiner personenbezogenen Daten zu verweigern, weil er negative Folgen befürchtet. Deshalb empfehlen die Aufsichtsbehörden den Arbeitgebern, für die Verarbeitung der personenbezogenen Daten ihrer gegenwärtigen oder künftigen Beschäftigten eine andere Rechtsgrundlage heranzuziehen.

Dies bedeutet jedoch nicht, dass sich Arbeitgeber überhaupt nicht auf die Einwilligung als Rechtsgrundlage stützen können.

Ebenso wenig gilt es als zulässig, die Einwilligung „im Paket“ in die Allgemeinen Geschäftsbedingungen bei der Erbringung einer Dienstleistung oder beim Abschluss eines Vertrags aufzunehmen, wenn die Verarbeitung der Daten für die Erfüllung dieses Vertrags nicht erforderlich ist.

Bei Websites darf der Zugang zu den Diensten, damit die Einwilligung freiwillig ist, nicht davon abhängig gemacht werden, dass der Nutzer in die Verarbeitung seiner personenbezogenen Daten einwilligt.

Kann der Nutzer beispielsweise die Inhalte der Website nicht ansehen, ohne auf „Ich akzeptiere die Cookies“ zu klicken, so gilt dies nicht als freiwillig erteilte Einwilligung.

Die Einwilligung muss für den bestimmten Fall erteilt sein

Die betroffene Person muss ihre Einwilligung für einen bestimmten Zweck oder für bestimmte Zwecke der Verarbeitung erteilen.

Verarbeitet der Verantwortliche personenbezogene Daten auf der Grundlage einer Einwilligung, beschließt jedoch später, die Daten auch zu einem anderen Zweck zu verarbeiten, so ist er verpflichtet, eine zusätzliche Einwilligung einzuholen, es sei denn, eine andere Rechtsgrundlage ist für die Situation besser geeignet.

Die Einwilligung muss in informierter Weise erteilt sein

Bevor er die Einwilligung der betroffenen Person einholt, ist der Verantwortliche verpflichtet, bestimmte Informationen bereitzustellen, zu denen gehören:

  • Angaben zum Verantwortlichen;
  • Zweck jeder Verarbeitung, für die eine Einwilligung verlangt wird;
  • die Arten personenbezogener Daten, die verarbeitet werden;
  • das Recht der betroffenen Person, ihre Einwilligung zu widerrufen, und zwar jederzeit;
  • ob die Daten für eine automatisierte Entscheidungsfindung verwendet werden;
  • ob die Daten an Verantwortliche außerhalb der EU übermittelt werden und welche Garantien und Risiken damit verbunden sind.

Sollen die Daten anderen Verantwortlichen zur Verfügung gestellt werden, die sich auf die ursprünglich erteilte Einwilligung stützen, so sind diese eindeutig zu benennen.

Die Bereitstellung dieser Informationen kann schriftlich, mündlich oder mittels einer Audio- oder Videobotschaft erfolgen. Wichtig ist, dass sie in verständlicher und klarer Sprache erfolgt.

Die Datenschutzerklärung (Privacy Notice) muss knapp, präzise und klar sein, um den Nutzer nicht zu überfordern.

Bei Websites empfiehlt sich eine gestufte Darstellung der Informationen, um eine übermäßige Belastung des Nutzers zu vermeiden.

Die Einwilligung muss durch eine Erklärung oder eine eindeutige bestätigende Handlung erteilt werden

Die betroffene Person muss ihre Einwilligung durch eine Erklärung oder eine aktive Handlung zum Ausdruck bringen.

Die Einwilligung kann erteilt werden durch:

  • Ausfüllen eines elektronischen Formulars;
  • Versendung einer E-Mail;
  • Hochladen eines eingescannten unterzeichneten Dokuments;
  • elektronische Signatur.

Eine „stillschweigende Einwilligung“ ist nicht wirksam!
Die fortgesetzte Nutzung des Dienstes gilt nicht als Einwilligung!
Auch die Verwendung vorangekreuzter Kästchen ist nach der DSGVO nicht wirksam!

Wenn Sie eine Beratung, die Erstellung von Unterlagen oder eine Schulung im Zusammenhang mit dem Schutz personenbezogener Daten benötigen, kontaktieren Sie uns unter der Telefonnummer: 0887550706 oder per E-Mail: [email protected]