einholen, auf den sich ihr Dienst nicht ausrichtet.[65] In diesen Konstellationen bleibt es ungeachtet der Öffnungsklausel bei der Grenze von 16 Jahren. Die Bestimmung des jeweils anzuwendenden nationalen Rechts lässt Art. 8 ungeregelt. Aufgrund dessen greift das allgemeine Kollisionsrecht der DS-GVO in Art. 3. Nationale Bestimmungen über die jeweilige Altersgrenze sind dann unbedeutend, solange sich das Kind innerhalb der EU befindet.[66]
1. Allgemein
49
Nach Art. 8 Abs. 2 muss der Verantwortliche unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um sich zu vergewissern, dass die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wurde.
50
Das Erfordernis der Einwilligung oder der Zustimmung nach Abs. 1 UAbs. 1 S. 2 wird durch die Vorschrift dahingehend ergänzt, dass der Verantwortliche zum Nachweis über die wirksame Einwilligung verpflichtet wird. Die Praxis steht hier vor der großen Herausforderung, geeignete und rechtssichere Wege für die Dokumentation zu finden. Gerade die Frage der Angemessenheit der Maßnahmen wird von den Datenschutzaufsichtsbehörden und letztendlich vom EuGH zu entscheiden sein.[67]
51
Nicht geregelt ist die in der Praxis ebenfalls bedeutsame Frage der Überprüfung des Alters des Erklärenden.[68] Hier wird man nach Sinn und Zweck der Regelung und wegen des Fehlens einer ausdrücklichen Vorgabe ebenfalls keine völlige Sicherheit, sondern allenfalls angemessene Anstrengungen fordern können und zugunsten eines Verantwortlichen, der solche angemessenen Anstrengungen unternimmt, von einer (ggf. fingierten) wirksamen Einwilligung ausgehen, solange er nicht positive Kenntnis von einer relevanten Falschangabe des Alters hat (siehe im Einzelnen Rn. 71 ff.).
2. Anforderungen an die Nachprüfung
52
Den Verantwortlichen treffen bezüglich der Einwilligung des Trägers der elterlichen Verantwortung Nachprüfungspflichten. Konkrete technische Überprüfungs- oder Verifikationsverfahren benennt die DS-GVO nicht. Art. 8 stellt jedoch die Pflichten des Verantwortlichen unter den Vorbehalt der Angemessenheit und der verfügbaren Technik.[69]
53
Art. 8 Abs. 2 verlangt (nur) angemessene Anstrengungen, die keine der auf Seiten des Verantwortlichen zu berücksichtigenden Gewährleistungen (namentlich Art. 15, 16, 17 GRCh) unverhältnismäßig einschränken.[70] Zur Beurteilung der Angemessenheit sind der finanzielle und organisatorische Aufwand des Verantwortlichen gegen Art, Umfang und Bedeutung der Datenverarbeitung abzuwägen.[71]
54
Hinsichtlich der verfügbaren Technik wird es darauf ankommen, welche technischen Möglichkeiten für die Vergewisserung der zutreffenden Autorisierung vorliegen.[72] Da sich die Technik fortlaufend entwickelt, sind die eingesetzten Überprüfungsmethoden kontinuierlich zu evaluieren und ggf. dem aktuellen Stand anzupassen.
55
Weiterhin wird bei der Frage der Bestimmung der erforderlichen Maßnahmen auch Art. 5 Abs. 1 lit. c zu berücksichtigen sein, wonach die Verarbeitung von personenbezogenen Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss (Grundsatz der Datenminimierung).[73]
56
Wie sich die Träger elterlicher Verantwortung praktikabel verifizieren lassen, ist von der Rechtspraxis zu beantworten (siehe Hinweise dazu bei Rn. 76 ff.). Die Norm verlangt Anstrengungen anzunehmen, doch dabei weiterhin dem Grundsatz der Verhältnismäßigkeit zu entsprechen.[74] Insbesondere besteht kein Register der Träger elterlicher Verantwortung, und es wäre auch unzumutbar und mit dem Grundsatz der Datenminimierung unvereinbar, ein solches aufbauen zu wollen.[75]
3. Nachweis- und Dokumentationspflicht
57
Abs. 2 verpflichtet den Verantwortlichen auch zur Dokumentation der erteilten Zustimmung. Daher ist Abs. 2 als eigener Rechtsgrund für die Erhebung von Daten der Träger elterlicher Verantwortung zu sehen.[76] Die Nachweispflicht folgt der generellen Rechenschaftspflicht gem. Art. 5 Abs. 2.
4. Rechtsfolgen
58
Die Rechtsfolgen einer fehlenden Dokumentation sind umstritten. Teilweise wird vertreten, dass die Rechtmäßigkeit oder Wirksamkeit der Einwilligung von der Erfüllung dieser Verpflichtung unabhängig sei; vielmehr diene die Vorschrift allein dem Verantwortlichen dahingehend, seiner Nachweispflicht hinsichtlich einer wirksamen Einwilligung nach Art. 7 Abs. 1 nachzukommen.[77]
59
Allerdings verpflichtet die Vorschrift den Verantwortlichen, einen Nachweis hinsichtlich einer wirksamen Einwilligung nach Art. 7 Abs. 1 beizubringen.[78] Als Teil der Anforderungen des Art. 8 führt auch eine Missachtung des Art. 8 Abs. 2 zur Unwirksamkeit der Einwilligung mit der Folge, dass die Datenverarbeitung rechtswidrig ist.[79]
60
Wenn sich die Verifikation trotz angemessener Anstrengungen später als fehlerhaft erweist, dürfte es ab dem Moment, in dem der Verantwortliche positive Kenntnis vom Fehlen der zunächst aufgrund angemessener Verifikationsanstrengungen angenommen Zustimmung hat, an der Rechtmäßigkeit der Datenverarbeitung gem. Art. 6 Abs. 1 lit. a fehlen.[80] Ein bloßer Verdacht oder ein abstraktes Für-möglich-halten genügt insoweit aber nicht, da sonst die ausdrücklich geregelte Beschränkung auf angemessene Anstrengungen unterlaufen werden würde.[81]
61
Als Teil der aus Art. 8 erwachsenden Pflichten kann eine Missachtung gem. Art. 83 Abs. 4 lit. a mit einem Bußgeld geahndet werden. Es ist sogar denkbar, einen solchen Verstoß aufgrund der kumulativen Anwendung mit Art. 7 als Verstoß gegen die Beachtung der Bedingungen einer Einwilligung gem. Art. 83 Abs. 5 lit. a zu ahnden.[82]
V.
