einer Abbildung einer Person Anwendung, nicht aber auf die Anfertigung oder weitere Verarbeitung.[62] Das KUG gilt allerdings nur im Umfang der Öffnungsklausel für den journalistischen, wissenschaftlichen, künstlerischen oder literarischen Bereich,[63] im Übrigen finden die allgemeinen Regeln in Art. 6 auch auf die Veröffentlichung Anwendung.
30
Sofern das KUG im journalistischen Bereich Anwendung findet, sind die Regelungen der §§ 22, 23 KUG als eigenständige Ausformung der Öffnungsklausel des Art. 85 Abs. 2 anwendbar.[64] Die damit einhergehenden Inkohärenz in Bezug auf die unterschiedlichen Regelungen zur Einwilligung selbst und der Widerruflichkeit von Einwilligungen muss de lege lata hingenommen werden. Bei konsequenter Anwendung der Regelungen des Art. 6 Abs. 1 dürften sich allerdings im Ergebnis keine tatsächlichen Unterschiede ergeben. So ist etwa der Fall eines Fotos, das in einem beruflichen Netzwerk durch den Betroffenen hochgeladen und sodann durch einen Nutzer weiterverbreitet wurde, sowohl nach KUG als auch nach DS-GVO so zu lösen, dass alleine im Hochladen keine konkludente Einwilligung zu sehen ist, die eine Weiterverbreitung erlaubt.[65]
2. Widerruf
31
Abzugrenzen ist der Widerruf zunächst vom Widerspruch. Während sich der Widerspruch[66] der betroffenen Person gegen eine rechtmäßige Datenverarbeitung auf Grundlage einer gesetzlichen Erlaubnisnorm richtet, handelt es sich beim Widerruf um die Rücknahme einer durch die betroffene Person vormals abgegebene Einwilligung.[67] Setzt sich ein Betroffener gegen eine Datenverarbeitung zur Wehr, ist seine Erklärung bei Falschbezeichnung in seinem Sinne auszulegen. Der Betroffene muss unmissverständlich zum Ausdruck bringen, was das Ziel seiner Erklärung ist. Anderenfalls besteht das Risiko, dass der Verantwortliche rechtswidrig personenbezogene Daten des Betroffenen löscht bzw. die Verarbeitung entgegen des tatsächlichen Willen des Betroffenen einschränkt.
32
Stützt ein Verantwortlicher seine Datenverarbeitung auf Art. 6 Abs. 1 lit. a, ist er gem. Art. 13 Abs. 2 lit. c und Art. 14 Abs. 2 lit. d verpflichtet, den Betroffenen über sein jederzeitiges Widerrufsrecht zu informieren.
33
Mit dem Widerruf entfällt die Rechtmäßigkeit einer Datenverarbeitung i.S.d. Art. 6 Abs. 1 lit. a. Vom Zeitpunkt des erklärten Widerrufs an ist die Verarbeitung personenbezogener Daten damit nicht mehr legitimiert und zulässig, sofern sich die Verarbeitung nicht noch auf eine andere Legitimation stützen kann. Der Widerruf wirkt im Ergebnis ex nunc.[68] Der Widerruf einer Einwilligung kann in Ausnahmefällen auch andere Rechtfertigungsgründe entfallen lassen. Widerruft etwa ein Betroffener seine Einwilligung, die er ursprünglich für die Bewerbung mit elektronischer Post erteilt hat, für die Zukunft bezogen auf „den Erhalt jeglicher Werbung“, so kann der Verantwortliche den Betroffenen nicht aufgrund eines berechtigten Interesses weiterhin nach Art. 6 Abs. 1 lit. f per Briefpost bewerben. Immerhin hat der Betroffene hiergegen ausdrücklich widersprochen. Ferner muss der Verantwortliche prüfen, ob die weitere Verarbeitung eine Zweckänderung zum Gegenstand hat, die gesondert durchgeführt werden muss und bei der – im Rahmen der Interessenabwägung – eine widerrufene Einwilligung unter Umständen zu berücksichtigen ist. Ein absolutes (Weiter-)Verarbeitungsverbot nach Widerruf einer Einwilligung wird in Art. 6 Abs. 1 lit. a allerdings nicht normiert. Zur Dokumentation der Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten des Betroffenen bis zum Widerruf und der damit einhergehenden Dokumentationspflicht des Verantwortlichen können Informationen zur Erteilung, Verarbeitung und Widerruf der Einwilligung auch nach Erlöschen der Einwilligung verarbeitet werden.
34
Nach einem Widerruf sind die davon berührten Daten gem. Art. 17 Abs. 1 lit. b zu löschen, sofern sich ihre Verarbeitung nicht noch auf einen anderen Rechtfertigungsgrund stützen kann.
3. Sanktionen
35
Bei einem Verstoß im Rahmen des Art. 6 Abs. 1 lit. a kommt gem. Art. 83 Abs. 1, Abs. 5 das nach der DS-GVO höchst mögliche Bußgeld in Höhe von bis zu 20 Mio. EUR „oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs“ in Betracht.
36
Der Verstoß kann sich hierbei aus verschiedenen Anknüpfungstatbeständen des Art. 83 Abs. 5 ergeben. Denkbar sind u.a. Verstöße gegen die Einwilligungsbedingungen des Art. 6 (Art. 83 Abs. 5 lit. a), aber auch Verletzungen der Informationspflichten der Art. 13 Abs. 2 lit. c und Art. 14 Abs. 2 lit. d (Art. 83 Abs. 5 lit. b) und die mangelnde Dokumentation der Einwilligung nach Art. 5 Abs. 2 DS-GVO.
37
Die maximal mögliche Bußgeldhöhe erscheint geboten, weil die Einwilligung die Rechtmäßigkeit der grundsätzlich verbotenen Verarbeitung personenbezogener Daten begründet und ohne die Rechtmäßigkeit ein schwerwiegender Eingriff in das Recht auf informationelle Selbstbestimmung vorliegen kann. Ein solcher persönlichkeitsrechtlicher Eingriff ist grundsätzlich verboten und bedarf ausnahmslos einer Erlaubnis wie etwa einer Einwilligung.
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
| a) | (...) |
| b) | die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; (…). |
– ErwG: 44
– BDSG n.F.: § 24
Literatur:
European Data Protection Board Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects (Version 2.0, 8 October 2019); Tavanti Datenverarbeitung zu Werbezwecken nach der Datenschutz-Grundverordnung (Teil 2). RDV 2016, 295; Wendehorst/von Westphalen Das Verhältnis zwischen Datenschutz-Grundverordnung und AGB-Recht, NJW 2016, 3745.
I. Einordnung und Hintergrund
38
Gemäß Art. 6 Abs. 1 lit. b ist eine Datenverarbeitung dann rechtmäßig, wenn die Verarbeitung
