das Setzen von Cookies oder die Verarbeitung personenbezogener Daten erlauben (vertiefend hierzu Art. 4 Nr. 11 Rn. 214 ff.).[47]
34
Eine zu beachtende Pflicht ist noch ergänzend in ErwG 32 S. 6 formuliert: „Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes.“ Dieses Gebot, welches an den ErwG 42 S. 3 („in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“) erinnert, stellt wohl aber nur eine unverbindliche, weil praktisch nicht zwangsweise durchsetzbare Zielvorgabe dar. Dem Verantwortlichen ist schließlich zur rechtssicheren Einwilligung zu raten, bei der die Form sich nicht immer dem Pragmatismus beugen kann (zur Einwilligungsgestaltung im elektronischen Datenverkehr auch Art. 4 Nr. 11 Rn. 213 ff.). Zwar muss der Verantwortliche der betroffenen Person eine Möglichkeit bieten, ohne Abgabe einer Einwilligung fortzufahren und z.B. eine Webseite zu nutzen. Nicht erforderlich ist es, eine ausdrückliche „Ja/Nein“-Auswahl anzubieten. Vielmehr genügt es, wenn der Betroffene klar erkennen kann, dass etwa die Verweigerung einer Einwilligung leicht möglich ist, z.B. durch Auswahl einer Schaltfläche mit der Beschriftung „weitere Informationen“ o.Ä., aus der die betroffene Person entnehmen kann, dass sie durch diese Auswahl gerade keine Einwilligung erteilt.
c) Verständliche und leicht zugängliche Form sowie klare und einfache Sprache
35
Im Sinne der den Datenschutz kennzeichnenden Transparenz ist die Einwilligungserklärung „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“[48] zu verfassen. Dieses Gebot gilt nicht nur im Fall des Art. 7 Abs. 1 bei Abgabe einer schriftlichen Erklärung in anderer Sache, sondern im Allgemeinen.[49] Auch hier wird der Rechtssicherheit Vorzug zu geben sein, da ein Verstoß[50] gegen dieses Gebot nicht zur Unzulässigkeit der Verarbeitung führen kann.
d) Konkludente Einwilligung und ihre Grenzen
36
Eine rechtmäßige Einwilligung kann nach Abkehr vom Schriftformerfordernis bereits durch eine eindeutige bestätigende Handlung erfolgen.[51] Damit ist eine wirksame Einwilligung bereits durch schlüssiges Verhalten (konkludente Einwilligung) möglich.[52]
37
Die Grenze, ab welcher die Einwilligung keine Rechtmäßigkeit mehr i.S.d. Art. 6 Abs. 1 lit. a begründet, beginnt spätestens beim Stillschweigen. Auch bereits angekreuzte Kästchen oder die bloße Untätigkeit der betroffenen Person stellt nach ErwG 32 keine Einwilligung dar (zur Eignung voreingestellter Ankreuzkästchen beim Setzen von Cookies Art. 4 Nr. 11 Rn. 214 ff.). Die Abgrenzung einer Einwilligung durch konkludentes Verhalten von bloßer Untätigkeit wird in der Praxis Schwierigkeiten bereiten.[53] Für die Rechtsanwendung wird die Eindeutigkeit der bestätigenden Handlung der Maßstab für die Wirksamkeit der Einwilligung.[54] Zur Sicherstellung der notwendigen Nachweisbarkeit einer Einwilligung empfiehlt es sich, technisch sicherzustellen, dass die bestätigende Handlung nur eine Deutungsmöglichkeit zulässt. Je geringer die Anforderung des Verantwortlichen an die bestätigende Handlung der betroffenen Person sind, desto höher sind die Anforderungen an die Transparenz.
a) Freie Widerrufbarkeit
38
Art. 7 Abs. 3 normiert erstmals ausdrücklich, dass der Betroffene jederzeit seine Einwilligung widerrufen kann. Damit wird die grundrechtlich geschützte informationelle Selbstbestimmung insofern gewährleistet, dass das Datensubjekt von seiner eigenen eindeutig bejahenden Handlung Abstand nehmen kann und die damit gegebene Rechtmäßigkeit für eine Datenverarbeitung selbstständig entziehen kann.
39
Von seinem Recht kann er gem. Art. 7 Abs. 3 S. 1 „jederzeit“ Gebrauch machen. Eine Begründung für den Entzug dieses Legitimationstatbestands ist nicht erforderlich. Analog zur Formfreiheit der Einwilligung ist der Widerruf ebenfalls frei auszuüben (Art. 7 Abs. 3 S. 3). Unstrittig kann für den Widerruf dieselbe Form wie bei der Einwilligung wirksame Anwendung finden. Im Sinne des Schutzziels dieser Bestimmung, der Ausübung informationeller Selbstbestimmung durch die Einwilligung des Betroffenen als Entscheidungsprärogative, darf der Widerruf nicht an der Form scheitern, so dass jedwede Form des Widerrufs als zulässig zu qualifizieren ist.[55] So dürfte der Widerruf im Rahmen eines Telefonanrufs zu Werbezwecken auch unmittelbar im Telefonat zulässig sein, sofern an der Identität des Gesprächspartners keine Zweifel bestehen. Hierzu sollte der Verantwortliche entsprechende Maßnahmen getroffen haben, um sicher ausschließen zu können, dass ein Unberechtigter das Widerspruchsrecht ausübt. Die Maßnahmen müssen spiegelbildlich zu einer sicheren Identifikation beim Anruf gewählt sein, etwa durch eine Zwei-Faktor-Authentifizierung.[56] Damit ist auch in technischer Hinsicht festgelegt, dass der Widerruf der Einwilligung so einfach wie möglich gestaltet sein muss.[57] Gleichermaßen besteht zudem die Möglichkeit die bestätigende Erklärung partiell – etwa bezogen auf bestimmte Datenarten oder einzelne Verarbeitungsformen – zu widerrufen.
aa) Ex nunc-Wirkung
40
Mit dem Widerruf entfällt die Rechtmäßigkeit einer Datenverarbeitung i.S.d. Art. 6 Abs. 1 lit. a. Vom Zeitpunkt des erklärten Widerrufs an ist die Verarbeitung personenbezogener Daten damit nicht mehr legitimiert und zulässig, sofern sich die Verarbeitung nicht noch auf eine andere Legitimation stützen kann.[59] Der Widerruf wirkt im Ergebnis ex nunc.[60] Gerade bei der Verarbeitung von Daten zu Forschungszwecken kann dies zu Problemen führen. Gleichwohl sind nach Ansicht der Art.-29-Datenschutzgruppe auch in diesem Falle die Daten zu löschen.[61] Insofern sind die Daten durch den Verantwortlichen zu anonymisieren, wenn er eine Löschung vermeiden will.
bb) Art. 17 Abs. 1 lit. b
41
Nach einem Widerruf sind die entsprechend davon berührten Daten gem. Art. 17 Abs. 1 lit. b zu löschen, sofern sich ihre Verarbeitung nicht noch auf einen anderen Rechtfertigungsgrund stützen kann. Über das Recht zum Widerruf und seine Wirkung ist der Betroffene vor Abgabe der Einwilligung in Kenntnis zu setzen.[62]
cc) Einschränkungen der freien Widerrufbarkeit
42
Das Recht zum Widerruf einer Einwilligung gilt nur grundsätzlich. Als Ausnahme von diesem Grundsatz ist eine Einschränkung der freien Widerrufbarkeit dann möglich, wenn die auf einer Einwilligung gründende Datenverarbeitung für eine rechtsgeschäftliche Beziehung unverzichtbar ist.[63] Dies gilt allerdings nur in den Fällen, in denen spezialgesetzlich in Abweichung von der Systematik der DS-GVO die Anwendbarkeit von Art. 6 Abs. 1 lit. b ausgeschlossen ist.[64]
