Die Einwilligung der betroffenen Person ist eine der Rechtsgrundlagen oder „Rechtmäßigkeitsbedingungen“, auf die sich eine Verarbeitung personenbezogener Daten basieren kann.
Bedingungen
Um eine gültige Legalitätsgrundlage zu bilden, muss die Einwilligung frei, spezifisch, informiert und unmissverständlich sein. Dies bedeutet, dass die Einwilligung widerrufbar sein muss, wenn die betroffene Person ihre Meinung ändert.
Freie Einwilligung: Die Person muss eine echte Wahlfreiheit haben und darf daher nicht durch eine mögliche Ablehnung benachteiligt werden.
Spezifische Einwilligung: Die Einwilligung muss sich auf eine festgelegte Verarbeitung und bestimmte Zwecke beziehen.
Einwilligung nach Aufklärung: Bevor die Einwilligung eingeholt wird, muss der für die Verarbeitung Verantwortliche die betroffene Person über die Hauptmerkmale der Verarbeitung, für die die Einwilligung eingeholt wird, informieren. Die Einwilligung nach Aufklärung geht Hand in Hand mit der spezifischen Einwilligung.
Eindeutige Einwilligung: Die Einwilligung ergibt sich aus einer eindeutigen positiven Handlung (einer Erklärung oder Geste), sie darf keinesfalls stillschweigend erfolgen oder vor-ausgefüllt/vor-angekreuzt sein.
Die Zustimmung wird nicht immer die angemessene Bedingung für die Rechtmäßigkeit sein
Unter Berücksichtigung dieser Bedingungen wird die Einwilligung nicht immer die angemessene Bedingung für die Rechtmäßigkeit sein, z. B. in den folgenden Situationen:
- Einholung einer Einwilligung für die Verwendung von Daten, für die eine rechtliche Verpflichtung besteht. Beispielsweise eine Verpflichtung, die sich aus den AML/KYC-Vorschriften oder auch aus einer Vorschrift zum Sozialschutz ergibt. In diesem Fall ist die angemessene Rechtmäßigkeitsbedingung die Erfüllung einer rechtlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt (Artikel 6 Absatz 1 Buchstabe c DSGVO).
- Einholung einer Einwilligung zur Verwendung von Daten, die für die Erfüllung eines Vertrags unerlässlich sind. Beispielsweise fällt das Einholen einer Adresse zur Erbringung einer Lieferleistung nicht unter die Einwilligung, sondern unter die Erfüllung eines Vertrags. In diesem Fall ist die angemessene Rechtmäßigkeitsbedingung die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder die Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person ergriffen werden (Artikel 6 Absatz 1 Buchstabe b DSGVO).
- eine „globale“ Einwilligung für die Verwendung einer Gruppe von Daten einholen, innerhalb derer nur eine bestimmte Anzahl von Daten unter die Einwilligung fällt und der Rest unter eine andere Rechtmäßigkeitsgrundlage. In diesem Szenario wird die Einwilligung, die eine gültige Rechtmäßigkeitsgrundlage für einen Teil der erhobenen Daten sein könnte, nicht rechtsgültig eingeholt: Sie ist weder frei noch spezifisch noch in Kenntnis der Sachlage. Diese Einwilligung wäre „erzwungen“, da sie in einer Liste von Daten versteckt ist, die nicht verweigert werden können, da die Rechtsgrundlage eine andere ist. Dieses Szenario wirft auch die Frage auf, ob der in der DSGVO vorgesehene Grundsatz der Loyalität eingehalten wird.
Der spezielle Fall der Einwilligung von Kindern
Wenn die verarbeiteten Daten mit Kindern unter 16 Jahren in Verbindung stehen, insbesondere bei Daten, die über eine kommerzielle Website (z. B. Online-Spiele, soziale Netzwerke) gesammelt werden, muss die Zustimmung der Eltern oder des gesetzlichen Vormunds eingeholt werden.
Die Informationen für Kinder müssen leicht verständlich und in einfachen, klaren Worten formuliert sein.