BDSG a.F. Kommentare und Erläuterungen
Absatz 1 Text
(1) Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen
des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt
werden, ist sie besonders hervorzuheben.
Anwendungsbereich und Regelungszweck
§ 4a ist der grundrechtlich manifestierten informationellen Selbstbestimmung geschuldet und soll Betroffenen die Möglichkeit der Kontrolle bzw. Einschränkung der Verwendung ihrer personenbezogenen Daten einräumen. Der Gesetzgeber stellt die Einwilligung neben der Rechtsvorschrift (§ 4 Abs. 1) als eine gleichrangige Voraussetzung für die Zulässigkeit der Datenverwendung. Allerdings ist sie nicht als Ersatz rechtlicher Grundlagen des BDSG selbst oder anderer Vorschriften anzusehen - vielmehr gilt es, Voraussetzungen wie Abhängigkeitsverhältnisse, reale Wahlmöglichkeiten und auch tatsächliche Eingriffsmöglichkeiten der Betroffenen in den Verarbeitungsablauf zu beachten. Die Regelung findet vornehmlich im nicht-öffentlichen Bereich Anwendung, denn öffentliche Stellen haben die Datenverarbeitung grundsätzlich an den gesetzlich definierten Aufgaben auszurichten. Folglich ist auch nur die Verwendung dafür erforderlicher Daten zulässig und es besteht im Allgemeinen keine Befugnis, die Verarbeitungsmöglichkeiten mit Hilfe der Einwilligung über die gesetzlichen Vorschriften hinaus zu erweitern.
§ 4a ist - ebenso wie die Zulässigkeitsregelung des § 4 Abs. 1 - für alle verantwortlichen Stellen verbindlich, sofern keine bereichsspezifische Vorschrift zum Tragen kommt (z.B. bei der Verwendung von Sozialdaten § 67a SGB X). Für die Bereiche der Werbung und des Adresshandels wird die Vorschrift durch § 28 Abs. 3a und 3b präzisiert.
Das Einverständnis des Betroffenen zur Erhebung, Verarbeitung oder Nutzung seiner Daten muss vor Beginn des Verfahrens vorliegen. Eine rückwirkende Rechtfertigung eines Vorganges durch das Einholen der Einwilligung zu einem späteren Zeitpunkt besteht nicht.
Eine Einwilligung als einseitige Willenserklärung ist nur wirksam, wenn die einwilligende Person einwilligungsfähig ist. Diese ist bei unbeschränkter Geschäftsfähigkeit oder unter den jeweiligen Voraussetzungen gegebener Teilgeschäftsfähigkeit (vgl. § 112, § 113 BGB) gegeben. Als streitig wird die rechtliche Einordnung als rechtsgeschäftliche Erklärung angesehen. Unstreitige Voraussetzung - und damit entscheidend - ist jedoch das Vorliegen der Einsichtsfähigkeit des Betroffenen. Insbesondere zu berücksichtigen sind hier minderjährige Betroffene. Bei ihnen genügt nach herrschender Meinung die Fähigkeit, Inhalt und Tragweite ihrer Erklärung sowie die möglichen Folgen abzuschätzen, damit ihre datenschutzrechtliche Einwilligung wirksam ist.
Wegen Willensmängeln kann eine Einwilligung angefochten werden, die auf der Grundlage eines Irrtums, von Täuschung oder Drohung abgegeben wurde.
Zwingende Verbotsvorschriften (z.B. § 134 BGB) oder Beschränkungen (z.B. beim Fragerecht des Arbeitgebers, Erstellung von Persönlichkeitsprofilen, Verletzung der Menschenwürde) können mit einer Einwilligung nicht außer Kraft gesetzt werden. Grundsätzlichen Voraussetzungen wirksamer Einwilligungen sind deren Freiwilligkeit (Satz 1), die Hinweispflicht auf den Zweck der Verarbeitung und die Folgen der Verweigerung (Satz 2) sowie die Schriftform (Satz 3).
Freie Entscheidung (Satz 1)
§ 4 Abs. 1 Satz 1 erlaubt die Erhebung, Verarbeitung und Nutzung personenbezogener Daten, wenn der Betroffene darin eingewilligt hat. Das Gesetz macht die Wirksamkeit der Einwilligung in Abs. 1 Satz 1 von der freien Entscheidung des Betroffenen abhängig und berücksichtigt damit die in Art. 2 Buchstabe h der EU-Datenschutzrichtlinie geforderte Willensbekundung "ohne Zwang". Freiwillig und ohne Zwang bedeutet nicht, dass mit der Entscheidung keine Vor- oder Nachteile verbunden sein dürfen, die die Motivation beeinflussen. Maßgeblich ist, dass die Entscheidung beim Betroffenen selbst verbleibt. Ob ein Zwang, der dem Betroffenen keine Wahl lässt, offensichtlich ist oder im Verborgenen wirkt, spielt dagegen keine Rolle.
In extremen Fällen kann die Einwirkung auf die Motivation gewissermaßen unwiderstehlich sein, so etwa wenn der Betroffene durch übermäßige Anreize finanzieller oder sonstiger Natur zur Preisgabe seiner Daten verleitet wird (vgl. BGHZ 177, 253, Tz. 21 m.w.N.).
Ein Zwang ergibt sich typischerweise aus einem Abhängigkeitsverhältnis des Betroffenen vom Arbeitgeber. Die Wirksamkeit einer Einwilligung zur Speicherung zusätzlicher Daten, welche der Legitimation der Durchführung oder Begründung des Beschäftigungsverhältnisses entbehrt (§ 32 Abs. 1), ist als fragwürdig anzusehen. Der Mitarbeiter kann sich nur schwerlich der Abhängigkeit vom Arbeitgeber entziehen, wenn aus seiner Sicht bei einem nicht gegebenen Einverständnis mit Konsequenzen im Rahmen des Beschäftigungsverhältnisses (z.B. Beförderung, Versetzung, Gehaltserhöhung) bzw. auch in Zusammenhang mit diesem (z.B. im Umgang mit Kollegen und Vorgesetzten) gerechnet werden muss. Eine nicht minder große Rolle spielen ebenfalls existenzielle Ängste wie die Befürchtung des Verlustes des Arbeitsplatzes. Ein unternehmensbedingter Gehorsam des Mitarbeiters hat somit auch ohne einen in der konkreten Situation ausgeübten Druck Auswirkungen auf seine freie Entscheidung. Eine auf diesen Grundlagen beruhende Einwilligung ist demnach nicht als eine freie Entscheidung einzuordnen. Unwirksam ist daher etwa eine Einwilligung, die ein Arbeitgeber verlangt, um von einer Krankenkasse, einem Betriebsarzt oder der Schufa Auskünfte einzuholen zu können. Das Fragerecht des Arbeitgebers ist trotz Einwilligung auf die erforderlichen Daten beschränkt.
Allerdings gibt es auch Fälle, in denen die Datenverarbeitung durch das Einverständnis gerechtfertigt sein kann; z.B. in Fällen, die das Beschäftigungsverhältnisses nicht wesentlich berühren oder wenn die Verarbeitung im Interesse des Betroffenen liegt (z.B. soziale Zusatzleistungen des Arbeitgebers, Erleichterung bzw. Beschleunigung von Arbeitsprozessen, Stichprobenkontrollen bei erlaubter privater Internet-Nutzung). Jedoch sind in diesen wenigen Fällen ebenso die verschiedenen arbeitsrechtlichen, sozialgesetzlichen und andere Spezialvorschriften zu beachten, die als Schutznorm eine Zulässigkeit der Verarbeitung trotz Einwilligung ausschließen.
An einer freien Entscheidung kann es auch fehlen, wenn der Betroffene auf bestimmte Dienstleistungen schlechthin angewiesen ist, wie etwa auf ein Minimum an Bank- oder Versicherungsverträgen.
Der einer Einwilligung zugrunde liegende informationelle Selbstschutz muss für den Betroffenen eigenverantwortlich und selbstständig sichergestellt sein. Die Beachtung seiner Interessen erfordern neben der Gewährleistung verhandelbarer Bedingungen auch die Vermeidung eines Verhandlungsungleichgewichtes mit der Folge einer Fremdbestimmung den Betroffenen praktisch zur Preisgabe seiner Daten zwingt (vgl. BVerfG, 1 BvR 2027/02 vom 23.10.2006, Absatz-Nr. (1-65)).
Koppelungen schließen per se die Freiwilligkeit einer Einwilligung nicht aus, da sie nur auf die Motivation, nicht auf die Entscheidungsfreiheit abzielen. Deshalb bedurfte es hierzu besonderer gesetzlicher Regelungen:
- § 28 Abs. 3b BDSG
"Die verantwortliche Stelle darf den Abschluss eines Vertrags nicht von einer Einwilligung des Betroffenen nach Absatz 3 Satz 1 abhängig machen..."
Hierauf verweist auch § 12 Abs. 3 TMG nach dem Wegfall des Kopplungsverbotes durch die Neufassung von 2009: "Soweit nichts anderes bestimmt ist, sind die jeweils geltenden Vorschriften für den Schutz personenbezogener Daten anzuwenden..." - § 95 Abs. 5 TKG
"die Erbringung von Telekommunikationsdiensten darf nicht von einer Einwilligung des Teilnehmers in eine Verwendung seiner Daten für andere Zwecke abhängig gemacht werden..." - § 41 Abs. 4 PostG
"Die geschäftsmäßige Erbringung von Postdiensten und deren Entgeltfestlegung darf nicht von der Angabe personenbezogener Daten abhängig gemacht werden..." - § 30 Abs. 2 BbgDSG (Brandenburgisches Datenschutzgesetz)
"Eine Leistung, der Abschluss oder die Abwicklung eines Vertragsverhältnisses dürfen nicht davon abhängig gemacht werden, dass der Betroffene nach Absatz 1 Satz 1 oder 2 einwilligt."
Verarbeitungsklauseln
Problematisch gestalten sich zumeist Einwilligungsklauseln im Rahmen von Verträgen, die Ermächtigungen zur weiteren Datenverarbeitungen enthalten, mit denen der Betroffene unfreiwillig oder unwissend einer nicht selbst bestimmten Verwendung seiner Daten zustimmt. So bedürfen Allgemeine Geschäftsbedingungen der regelmäßigen Prüfung auf evtl. Unwirksamkeiten nach § 305c und § 307 BGB.
Nicht nur im Rahmen von Verträgen, sondern auch bei anderen Datenverwendungen (vgl. sog. Cookie-Regelung der EU-Richtlinie 2009/136/EG) wird zwischen "opt-in" und "opt-out" Klauseln unterschieden, welche einer freien Entscheidung des Betroffenen entsprechen:
- "opt-in" setzt die Aktivität des Betroffenen für die Abgabe einer Einwilligung voraus, die Einwilligung gilt somit erst als wirksam, wenn der Betroffene ausdrücklich zugestimmt hat, etwa durch das Setzen eines Häkchen für sein Einverständnis, z.B. "Ja" oder "Ich stimme zu".
- "opt-out" beinhaltet die (automatische) Verarbeitung oder Nutzung solange der Betroffene seine Zustimmung nicht verweigert, etwa durch das Setzen eines Häkchens bei "Nein" oder "Ich stimme nicht zu".
Bei der jeweiligen Verwendung dieser Klauseln gilt es, weitere Normen zu beachten. Das BDSG verpflichtet zur "opt-in" Klausel in § 28 Abs. 3a; das UWG fordert in § 7 Abs. 2 "eine vorherige ausdrückliche Einwilligung des Adressaten" für bestimmte Zusendungsformen von Werbung.
Beispiele für fehlende Freiwilligkeit
- Warndateien in der Versicherungswirtschaft (Jahresbericht BlnBDI 2006)
- Einwilligungen in der hoheitlichen Eingriffsverwaltung (21. Tätigkeitsbericht 2006/2007 HmbBfDI)
- Vermischung öffentlicher Pflichtangaben mit zusätzlich geforderten "privaten" Angaben ohne die Kennzeichnung als freiwillige Angabe
- pauschale Einwilligungen im Rahmen von Verträgen oder Vermittlungsangeboten
- wettbewerbswidrige Einwilligungen (Telefonwerbung, siehe oben UWG)
Zweck und Umstände der Verarbeitung (Satz 2)
Satz 2 regelt die informationelle Grundlage der freien Entscheidung einer Einwilligung. Die Regelung verpflichtet zur Aufklärung des Betroffenen über den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten im Einzelnen. Der Gesetzgeber folgt damit der Forderung des Bundesverfassungsgerichtes im sog. Volkszählungsurteil nach einer Aufklärungspflicht als verfahrensrechtliche Schutzvorkehrung zur Stärkung der Interessen von Betroffenen. In Unkenntnis des Umfangs und der Verwendungszwecke seiner Daten kann der Betroffenen sein Recht auf informationelle Selbstbestimmung nicht ausüben. Die Hinweispflicht, die unabhängig vom Schriftformerfordernis gilt, soll dafür sorgen, dass solche Situationen nicht entstehen.
Maßgeblich für eine hinreichende Aufklärung des Betroffenen sind konkrete Angaben über die Verwendung seiner Daten. Um Tragweite und Konsequenzen seiner Einwilligung abschätzen zu können, muss der Betroffene wissen, welche seiner Daten zu welchem Zweck verarbeitet werden. Einwilligungen, die keine Zuordnung von bestimmten Daten mit konkreten Zwecken enthalten (etwa: "Ihre Daten" oder "künftige Anträge" oder "weitere Geschäfte" oder "Zusammenarbeit mit anderen Unternehmen"), sind nicht hinreichend bestimmt und daher unwirksam.
Soll in eine Übermittlung eingewilligt werden, so ist deren Zweck mitzuteilen. Ist eine Vielzahl von Übermittlungen vorgesehen, gehört zur Zweckbeschreibung in der Regel auch eine Umschreibung des Empfängerkreises, bei einer einzelnen Übermittlung ist regelmäßig der Empfänger konkret anzugeben.
Gleiche Anforderungen werden an Einwilligungen zu Übermittlungen ins Ausland (z.B. beim Outsourcing) gestellt. Der Betroffene ist hier über das konkrete Zielland zu informieren. Diese Übermittlungen erfordern die Beachtung der Unterscheidung zwischen EU-Mitgliedsstaaten und EWR-Vertragsstaaten sowie Drittstaaten. § 4b Abs. 1 BDSG regelt die Zulässigkeit von Übermittlungen an erstere; § 4b Abs. 2 Satz 2 BDSG macht das angemessene Datenschutzniveau in einem Drittstaat zur Bedingung für eine zulässige Übermittlung (vgl. Kommentar § 4b). Fehlt es daran, ist eine Übermittlung nur zulässig, wenn der Betroffene eingewilligt hat (§ 4c Abs. 1 Satz 1 Nr. 1) oder eine Vertragserfüllung oder ein Vertragsabschluss als Grundlage dient (§ 4c Abs. 1 Satz 1 Nr. 2 und 3, näheres auch in Kommentar § 4c). Fehlen die Voraussetzungen nach § 4c Abs. 1 Satz 1, obliegt es der zuständigen Aufsichtsbehörde, ausreichende Garantien zu prüfen und Schutz und Rechte des Betroffenen festzustellen.
Mit der Verpflichtung, den Betroffenen „soweit nach den Umständen des Einzelfalles erforderlich“ über die Folgen einer Verweigerung hinzuweisen, folgt der Gesetzgeber der Formulierung „in Kenntnis der Sachlage“ des Artikel 2 Buchstabe h der EU-Datenschutzrichtlinie (vgl. Bt-Drs. 14/4329). Dies dient bei einer Weigerung vor allem der Kenntnisnahme des Betroffenen von möglichen Rechtsnachteilen und anderen (materiellen) Konsequenzen beispielsweise infolge einer Verletzung von Mitwirkungspflichten (Sozialhilfeempfänger § 60 SGB I). Der Hinweis auf die Folgen einer Verweigerung kann nur bei deren Offensichtlichkeit entfallen.
§ 28 Abs. 3b präzisiert andererseits die Verpflichtung der verantwortlichen Stelle, einen Vertragsabschluss nicht von einer Weigerung zur Einwilligung abhängig zu machen, wenn dem Betroffenen Zugang zu gleichwertigen Leistungen möglich ist, und erklärt eine solchermaßen abgegebene Einwilligung für unwirksam.
Formvorschriften (Satz 3 und 4)
Schriftform und Hervorhebung
Die Einwilligung bedarf nach Abs. 1 Satz 3 der Schriftform. Dies verfolgt ebenso wie Satz 1 und 2 den Zweck, eine bewusste Entscheidung des Betroffenen herbeizuführen und die materielle Gewährleistung seiner Rechte sicherzustellen. Die geforderte Schriftform gem. § 126 BGB wurde durch § 126a BGB um die elektronische Form mit qualifizierter elektronischer Signatur nach dem Signaturgesetz und erweitert. Das Fehlen der gesetzlich vorgeschriebenen Form der Einwilligung führt nach § 125 und § 134 BGB zu deren Nichtigkeit.
Von der Formvorschrift des Satzes 3 ausgenommen sind Fälle, bei denen besondere Umstände ein mündliches (auch telefonisches) oder konkludentes Einverständnis ausreichen lassen. Solche Umstände können beispielsweise
- nach ihrer Verwendung bzw. Speicherung anonymisierte Daten (z.B. bei Meinungsumfragen)
- eine gebotene Eilbedürftigkeit (z.B. bei akuten Krankheitsfällen)
- telefonische Bestellungen verbunden mit umgehenden Lieferungsanspruch
- weitere Verarbeitungen im Rahmen von Tätigkeiten längerfristiger Geschäftsbeziehungen
sein.
Keine besonderen Umstände ergeben sich aus einer freiwilligen Mitarbeit des Betroffenen; ebenso wenig aus Mehrkosten bei Anwendung der schriftlichen Form.
Die Rechtsprechung sieht die Schriftform bei vorgedruckten Einwilligungsklauseln durch deren Abdruck in voller Länge und ihrer Anerkennung durch die Namensunterschrift des Einwilligenden gewahrt. Bei Bezugnahme auf andernorts abgedruckte Einwilligungsklauseln ist der Schriftform nur genügt, wenn dem Einwilligenden diese in abgedruckter Form vorliegt und - auch später - ohne weiteres nachzulesen ist.
Die in Satz 4 geforderte besondere Hervorhebung der Einwilligung, sofern sie mit anderen Erklärungen zusammen erteilt wird, ist ebenfalls gesetzliche Wirksamkeitsvoraussetzung. Ohne die Hervorhebung besteht die Gefahr, dass die Einwilligungsklausel übersehen oder in ihrer Bedeutung verkannt wird. Gleichermaßen lässt sich eine gültige Einwilligung aus einer allgemein gehaltenen Überschrift (z.B. „Datenschutz“) als Teil allgemeiner Geschäftsbedingungen herleiten (vgl. AG Elmshorn, Urteil vom 25.04.2005, Az. 49 C 54/05).
Die Einwilligungserklärung ist abgesetzt und durch den Betroffenen optisch deutlich erkennbar zu platzieren. Eine Einwilligung, die durch ihre Einfügung in oder Anfügung an andere Erklärungen leicht übersehen werden kann, genügt der in Satz 4 geforderten besonderen Hervorhebung auch dann nicht, wenn sie die Überschrift "Datenschutzklausel" oder "Hinweis zum Datenschutz" trägt, weil der Charakter als Einwilligung nicht hervortritt. Werden in einem Schriftstück Überschriften verwendet, so erfordert die Hervorhebung eine spezifische, auf den Inhalt hinweisende Überschrift (z.B. "Datenschutzrechtliche Einwilligungserklärung").
Keine Schriftform, wohl aber eine vorherige ausdrückliche Einwilligung fordert § 7 Abs. 2 Nr. 2 UWG bei der Erhebung, Verarbeitung und Nutzung von Daten für die telefonische Werbeansprache.
Weitere Informationen
2. TB LDA Bayern 2006 (4. Einwilligungserklärungen]
30. TB LfD Baden-Württemberg 2010/2011 (6. Teil 2. Abschnitt Punkt 3)
Online-Kommentare
Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.