Einwilligung

Kinder und Minderjährige bis 16 Jahren genießen nach der DSGVO einen hervorgehobenen Schutz, da diese sich der Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind, vgl. Erwägungsgrund 38 DSGVO.

Bei Diensten der Informationsgesellschaft ist nach Artikel 8 Absatz 1 DSGVO eine einwilligungsbasierte Verarbeitung der Daten von Kindern bis 16 Jahren nur rechtmäßig, wenn das Kind entweder das sechzehnte Lebensjahr vollendet hat, oder sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.

Bei Datenverarbeitungen, die nicht als Dienste der Informationsgesellschaft angeboten werden, kommt es auf die natürliche Einsichtsfähigkeit des Betroffenen an, die nach ständiger Rechtsprechung in der Regel ab 16 Jahren zu vermuten ist.

Die Verarbeitung von Daten Minderjähriger auf Vertragsbasis begegnet zusätzlichen Hürden. So sind Unter-7-Jährige schon geschäftsunfähig, während Unter-18-Jährige nur eingeschränkt geschäftsfähig sind. Entsprechende Verträge können also nichtig oder schwebend unwirksam sein, und stellen dann keine taugliche Grundlage für eine Verarbeitung nach Artikel 6 Absatz 1 Satz 1 Buchstabe a DSGVO dar.

Weitere Beschränkungen der Verarbeitung von Daten Minderjähriger, insbesondere für Onlinedienste, ergeben sich aus Spezialgesetzen, für deren Durchsetzung die Sächsische Datenschutzbeauftragte nicht (direkt) zuständig ist. So dürfen etwa nach § 20 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) zur Wahrung des Jugendschutzes erhobene personenbezogene Daten Minderjähriger nicht für kommerzielle Zwecke verarbeitet werden.

Den Verantwortlichen treffen vor diesem Hintergrund eine Reihe hervorgehobener Sorgfalts- und Dokumentationspflichten, nicht nur aus Artikel 8 Absatz 2 DSGVO. Auch hinsichtlich der verschiedenen Informationspflichten, sowie bei der Interessengewichtung nach Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO muss dem Verständnishorizont und der besonderen Schutzwürdigkeit von Minderjährigen klar und nachvollziehbar Rechnung getragen werden.

Die Datenschutz-Grundverordnung bestimmt in Artikel 7 Absatz 3, dass die betroffene Person ein Recht zum jederzeitigen Widerruf ihrer Einwilligung hat, sie vor Abgabe der Einwilligung über dieses ihr Widerrufsrecht aufgeklärt werden muss und der Widerruf der Einwilligung genauso leicht möglich sein muss wie die Einwilligung.

Die Abgabe der Einwilligungserklärung der betroffenen Person muss gemäß Artikel 7 Absatz 4 DSGVO freiwillig erfolgen, das heißt, ohne jeden Druck oder Zwang. Die betroffene Person muss in der Lage sein, eine echte freie Wahl zu treffen, das heißt, sie darf im Zuge der Einholung der Einwilligung nicht vor vollendete Tatsachen gestellt oder sonst in ihrer Entscheidungskraft eingeschränkt werden. In Erwägungsgrund 43 finden sich nähere Ausführungen zu der Frage, wann eine Einwilligung als freiwillig anzusehen ist und wann nicht. Gerade wenn es sich bei dem Verantwortlichen um eine Behörde handelt, wird oft ein Ungleichgewicht zwischen der betroffenen Person und der Behörde bestehen. In diesen Fällen kann nicht von einer freiwilligen Einwilligung ausgegangen werden.

Neu ist die ausdrückliche Einführung eines allgemeinen Kopplungsverbotes. Danach gilt gemäß Erwägungsgrund 43 eine Einwilligung als nicht freiwillig erteilt, wenn zu verschiedenen Datenverarbeitungsvorgängen nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrages oder die Erbringung einer Dienstleistung von der Einwilligung abhängig gemacht werden, obwohl dies dafür gar nicht erforderlich ist.

Die betroffene Person muss vor Abgabe ihrer Einwilligungserklärung über den vorgesehenen Zweck wie auch den Umfang der Verarbeitung ihrer personenbezogenen Daten im Einzelnen informiert werden, damit sie für den konkreten Fall und in Kenntnis der Sachlage einwilligen kann. Dabei muss sie alle weiteren für den konkreten Fall entscheidungsrelevanten Informationen enthalten. Diese müssen auch hinreichend bestimmt sein. Der Zweck der Verarbeitung darf also nicht zu allgemein gehalten werden. Siehe zum Ganzen auch Erwägungsgrund 32 der Datenschutz-Grundverordnung.

Die Datenschutz-Grundverordnung geht nicht mehr von einem grundsätzlichen Schriftformerfordernis aus. Zulässig ist auch eine mündliche Einwilligungserklärung. Allerdings muss der Verantwortliche nach Artikel 7 Absatz 1 DSGVO „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat“. Bei einer mündlichen Einwilligung wird dieser Nachweis ohne Zeugen nur schwer zu führen sein. Siehe zum Ganzen auch Erwägungsgrund 32 der Datenschutz-Grundverordnung.

Wenn die Einwilligung zusammen mit anderen Erklärungen abgegeben werden soll, so muss die Einwilligungserklärung gemäß Artikel 7 Absatz 2 DSGVO „in verständlicher und leicht zugänglicher Form“ und in „einer klaren und einfachen Sprache“ erfolgen. Für die betroffene Person muss sich die Einwilligungserklärung klar von anderen Erklärungen unterscheiden. Daraus folgt, dass die Einwilligung deutlich hervorzuheben ist, zum Beispiel durch Fettdruck, Rahmung, farbliche Hervorhebung.

Im Falle der in Artikel 9 Absatz 2 Buchstabe a DSGVO geregelten Verarbeitung besonderer Kategorien personenbezogener Daten (zum Beispiel von Gesundheitsdaten) muss sich die Einwilligung ausdrücklich auf diese beziehen.