Die Anforderungen an eine wirksame Einwilligung werden konkretisiert
Der EuGH (Zweite Kammer), hat auf Vorlage am 11. November 2020 (AktenzeichenC 61/19) zur Verarbeitung personenbezogener Daten, der Sammlung und Aufbewahrung von Kopien von Ausweisdokumenten durch einen Anbieter von Mobiltelekommunikationsdiensten, den Begriff der ,Einwilligung‘ der betroffenen Person und weiteren Details Stellung genommen.
Die Entscheidung geht zurück auf ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Tribunalul Bucureşti (Landgericht Bukarest, Rumänien).
Nach der Entscheidung sind Art. 2 Buchst. h und Art. 7 Buchst. a der Datenschutz-Grundverordnung (DSGVO) sind dahin auszulegen, dass es
- dem für die Verarbeitung von Daten Verantwortlichen obliegt, nachzuweisen, dass die betroffene Person ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch aktives Verhalten bekundet hat und
- dass sie vorher eine Information über alle Umstände im Zusammenhang mit dieser Verarbeitung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erhalten hat, die sie in die Lage versetzt, die Konsequenzen dieser Einwilligung leicht zu ermitteln, so dass gewährleistet ist, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird.
- Ein Vertrag über die Erbringung von Telekommunikationsdiensten, der die Klausel enthält, dass die betroffene Person über die Sammlung und die Aufbewahrung einer Kopie ihres Ausweisdokuments mit Identifikationsfunktion informiert worden ist und darin eingewilligt hat, ist nicht als Nachweis dafür geeignet, dass diese Person ihre Einwilligung in die Sammlung und Aufbewahrung dieser Dokumente im Sinne dieser Bestimmungen gültig erteilt hat, wenn
- das Kästchen, das sich auf diese Klausel bezieht, von dem für die Verarbeitung der Daten Verantwortlichen vor Unterzeichnung dieses Vertrags angekreuzt worden ist oder wenn
- die Vertragsbestimmungen dieses Vertrags die betroffene Person über die Möglichkeit, den Vertrag abzuschließen, auch wenn sie sich weigert, in die Verarbeitung ihrer Daten einzuwilligen, irreführen können oder wenn
- die freie Entscheidung, sich dieser Sammlung und Aufbewahrung zu widersetzen, von diesem Verantwortlichen ungebührlich beeinträchtigt wird, indem verlangt wird, dass die betroffene Person zur Verweigerung ihrer Einwilligung ein zusätzliches Formular unterzeichnet, in dem diese Weigerung zum Ausdruck kommt.
Das Urteil stellt klar, dass die Nachweispflicht und damit wohl auch die Beweislast für das Vorliegen einer Einverständniserklärung und deren Wirksamkeit beim Verantwortlichen der Datenverarbeitung liegt. Diese Wirksamkeit verlangt eine eindeutige Handlung des Betroffenen und hängt von einer vorherigen umfassenden Aufklärung in klarer einfacher Sprache ab. Bis hierhin eigentlich nichts Überraschendes, auch wenn Datenverarbeiter hiermit immer noch Probleme zu haben scheinen. Vor allem dann, wenn sie auf Alibi-Erklärungen ohne entsprechend umfassende Aufklärung setzen. Vorangekreuzte Kästchen sind dabei ebenso wenig hilfreich wie der Verdacht mangelnder Freiwilligkeit (z.B. kein Vertrag ohne Einverständniserklärung) oder auch nur die Errichtung besonderer Hürden für den Vertragsabschluss im Falle der „Verweigerung“ der Einverständniserklärung.
Die Entscheidung macht einmal mehr deutlich: ist für die Verarbeitung personenbezogener Daten eine Einverständniserklärung des Betroffenen erforderlich, so ist auf die Einhaltung und den im Streitfall zu erbringenden Nachweis der Einhaltung dieser „Regularien“ Sorgfalt zu verwenden. Nichteinhaltung der Regeln macht die Einwilligung unwirksam (hätte man sich auch gleich sparen können). Da im Zweifel der Nachweis erbracht werden muss, muss die Einhaltung der Vorgaben dokumentiert werden, da ansonsten die Wirksamkeit einer Einwilligung nicht nachgewiesen werden kann und die Unwirksamkeit „unterstellt“ wird auch in diesem Fall hätte man sich die Mühe sparen können).
Handlungsempfehlung (für alle Fälle der schriftlichen Einwilligung): Dies führt zu der Empfehlung, schriftlich und umfassend über die beabsichtigte Verarbeitung der personenbezogenen Daten zu informieren und die Einwilligung (vielleicht auf gleichem Dokument) erteilen zu lassen (dann natürlich mit der Bestätigung des Inhalts des Dokuments und des Erhalts einer Kopie des Ganzen durch den Betroffenen).
Die Entscheidung ist nachzulesen unter dem Link