der Einwilligung vor anderen Erlaubnistatbeständen ist der DS-GVO fremd. Auch wenn sie die informationelle Selbstbestimmung des Betroffenen aus dessen Perspektive am besten zur Geltung bringt, so wird sie im Rahmen einer Gesamtschau der Umstände der Datenverarbeitung häufig ungeeignet sein, um die Ziele der DS-GVO zu erfüllen, weil das Instrument der Einwilligung „systematisch überfordert“ ist.[26] Da der Einzelne durch die Anzahl und Komplexität der ihm abverlangten Entscheidungen und durch die Unabschätzbarkeit ihrer Auswirkungen überfordert ist, ist ein sachgerechter Umgang mit dem Rechtsinstitut faktisch häufig unmöglich und Ursache für einen Vertrauensverlust in der digitalen Gesellschaft.[27] Geht die Rechtmäßigkeit von einem anderen Erlaubnistatbestand als Art. 6 Abs. 1 lit. a aus, kommt es auf eine Einwilligung des Betroffenen nicht mehr an. Der Verantwortliche kann zwar grundsätzlich seine Datenverarbeitung auch auf mehr als einen Erlaubnistatbestand stützen, jedoch ist eine Einwilligung neben anderen Erlaubnistatbeständen dann ungeeignet, wenn hierdurch gegen das Erforderlichkeitserfordernis in Art. 6 Abs. 1 lit. b oder das Kopplungsverbot in Art. 7 Abs. 4 verstoßen wird.[28]
a) Rechtsnatur
12
Die Einwilligung des Betroffenen in eine Datenverarbeitung legitimiert die Verarbeitung. Sie ist eine höchstpersönliche und deshalb jederzeit grundlos widerrufbare (Art. 7 Abs. 3 S. 1 DS-GVO) Willenserklärung, die Rechtsfolgen auslöst, so dass sie einen rechtsgeschäftlichen Erklärungsgehalt hat.[29] Die Bewertung der Rechtsnatur der Einwilligung, mag sie auch mehr rechtstheoretischer Natur sein, als Realhandlung, ist ebenso missverständlich wie überflüssig.[30]
b) Wirksamkeitsanforderungen
13
Die Wirksamkeitsanforderungen an die Einwilligung als Legitimierung der Datenverarbeitung sind an verschiedenen Stellen in der Verordnung normiert. Neben Art. 6 Abs. 1 lit. a finden sie sich in den Art. 4 Nr. 11, 7 und 8.
14
Art. 6 Abs. 1 lit. a legt unmittelbar fest, dass die Einwilligung „für einen oder mehrere bestimmte Zwecke“ erteilt werden kann. Über den Zweck bzw. die Zwecke muss die betroffene Person vor oder bei der Erteilung der Einwilligung informiert werden.[31] Die jeweilige Einwilligung soll sich sodann auf alle zu diesen Zwecken vorgenommenen Verarbeitungsvorgänge beziehen.[32] Der Zweck der Verarbeitung ist so konkret wie möglich zu fassen, gleichwohl aber transparent und verständlich. Um diesen Anforderungen zu genügen, muss die Einwilligung sämtliche Verarbeitungsvorgänge im Sinne von Art. 4 Nr. 2 abdecken. Als ungeschriebenes Tatbestandsmerkmal dürfte zu ergänzen sein, dass die Einwilligung vor Aufnahme der jeweiligen Verarbeitung einzuholen ist. Eine nachträgliche Genehmigung genügt den Transparenzanforderungen aus Art. 5 nicht. In Fällen nachträglicher Genehmigungen ist vielmehr zu prüfen, ob die Einwilligung nicht konkludent abgegeben wurde und die Genehmigung lediglich der Dokumentation der bereits erteilten wirksamen Einwilligung dient.[33]
15
Art. 4 Nr. 11 definiert die Einwilligung legal. Danach handelt es sich um eine Willensbekundung über das Einverständnis zur Verarbeitung personenbezogener Daten. Sie soll daher durch eine freiwillige, bestätigende Handlung erfolgen, die für einen konkreten Fall, in informierter Weise und unmissverständlich zum Ausdruck bringen, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Im Ergebnis statuiert Art. 4 Nr. 11 eine Reihe von Wirksamkeitsvoraussetzungen für die Einwilligung.[34] Diese müssen erfüllt sein, um dem Rechtmäßigkeitstatbestand nach Art. 6 Abs. 1 lit. a zu genügen.
16
Art. 7 bestimmt weitere Voraussetzungen, deren Vorliegen konstitutiv für eine rechtmäßige Einwilligung sind. Eine rechtmäßige Einwilligung sieht danach eine Nachweispflicht auf Seiten des Verantwortlichen vor (Art. 7 Abs. 1). Weitere Voraussetzungen sind sowohl die Freiwilligkeit (Art. 7 Abs. 4), als auch die Transparenz und Eigenständigkeit der Einwilligung (Art. 7 Abs. 2). Die Möglichkeit des Betroffenen, jederzeit seine Einwilligung zu widerrufen (Art. 7 Abs. 3), lässt die offenkundige Zielsetzung des Verordnungsgebers erkennen, den Gebrauch von Einwilligungen als legitimierende Grundlage zur Verarbeitung einzuschränken.[35]
17
Die Einwilligung als Erlaubnistatbestand muss zu Gunsten eines jeden Verantwortlichen, der sich auf die Einwilligung berufen möchte, eingeholt werden. Dies gilt auch bei gemeinsam Verantwortlichen nach Art. 26.[36] Eine Einwilligung bei gemeinsamen oder mehreren Verantwortlichen kann von einem Verantwortlichen für alle eingeholt werden, sofern für den Betroffenen transparent erkennbar ist, wem gegenüber seine Erklärung gelten soll und welche Verantwortlichen auf Grundlage der Einwilligung seine personenbezogenen Daten verarbeiten werden.[37]
18
Sofern sich die Einwilligung auf von Art. 8 erfasste Fälle bezieht, sind die darin spezifizierten Wirksamkeitserfordernisse einer Einwilligung von Minderjährigen zu beachten.[38]
19
Wird eine vorformulierte Einwilligungserklärung zusammen mit anderen Vertragspunkten in Allgemeinen Geschäftsbedingungen verwendet, hat sie insbesondere dem Transparenzgebot des Art. 5 Abs. 1 lit. a zu genügen.[39] Maßstab für die Einhaltung des Transparenzgebots ist dabei die Richtlinie 93/13/EWG.[40] Wesentliches Kriterium ist hierbei, dass Betroffene den Umfang und die Konsequenzen der Verarbeitung, auf die sich die Einwilligung bezieht, erfassen können. Nicht erforderlich hingegen ist, dass Betroffene die Datenverarbeitung im Detail durchdringen.[41]
c) Alteinwilligungen
20
Die Einwilligung ist kein Novum, das mit der DS-GVO Einzug erhält. Gerade in der Rechtspraxis im nichtöffentlichen Bereich ist die vom Betroffenen abgegebene Einwilligung in die Verarbeitung seiner personenbezogenen Daten seit jeher von hoher Relevanz. Für die Rechtsanwendung steht
