Die DSK (Daten­schutz­kon­fe­renz, das Gre­mi­um der deut­schen Daten­schutz­auf­sichts­be­hör­den) hat das Kurz­pa­pier Nr. 20 zu Ein­wil­li­gun­gen nach der DSGVO ver­öf­fent­licht. Es ent­hält an sich wenig Neu­es, aber eini­ge Hin­wei­se sind bemer­kens­wert:

  • Nach­weis der Ein­wil­li­gung: Der Ver­ant­wort­li­che muss die Ertei­lung nach­wei­sen kön­nen. Die­se Pflicht ist nicht nur als Beweis­last­re­gel zu ver­ste­hen, son­dern als Doku­men­ta­ti­ons­pflicht. Elek­tro­ni­sche Ein­wil­li­gun­gen sind zu pro­to­kol­lie­ren. Nicht aus­rei­chend wäre ledig­lich der Nach­weis einer ord­nungs­ge­mä­ssen Gestal­tung der ent­spre­chen­den Web­sei­te, wenn die Ein­wil­li­gung im Ein­zel­fall nicht nach­ge­wie­sen wer­den kann.
  • Wei­ter­gel­tung alt­recht­li­cher Ein­wil­li­gun­gen: Nach Erw­Gr 171 gel­ten vor Inkraft­tre­ten der DSGVO erteil­te Ein­wil­li­gun­gen fort, sofern die Art die­ser Ein­wil­li­gun­gen “den Bedin­gun­gen die­ser Ver­ord­nung” (der DSGVO) ent­spricht. Dies setzt u.a. vor­aus, dass die Ein­wil­li­gung im Ein­zel­fall doku­men­tiert ist, dass sie frei­wil­lig abge­ge­ben wur­de, dass sie für den kon­kre­ten Fall, infor­miert und unmiss­ver­ständ­lich abge­ge­ben wur­de und dass der Ver­ant­wort­li­che den Wider­ruf ermög­licht und infor­miert, wie wider­ru­fen wer­den kann.

Pro­ble­ma­tisch beim zwei­ten Punkt ist, dass damit alt­recht­li­che Ein­wil­li­gun­gen u.a. dann ent­fal­len, wenn bei der Ertei­lung nicht auf das Wider­rufs­recht hin­ge­wie­sen wor­den war. In der Lite­ra­tur ist die­ser Punkt strit­tig. m.E. geht dies zu weit. Folgt man der Auf­fas­sung der DSK, wären sol­che Ein­wil­li­gung erneut ein­zu­ho­len (“Repa­pe­ring”), was enorm auf­wen­dig sein kann.

Zum Wech­sel auf eine alter­na­ti­ve Rechts­grund­la­ge äussert sich die DSK wie folgt:

Die Daten­ver­ar­bei­tung in die­sem Fall auf eine ande­re Rechts­grund­la­ge zu stüt­zen, bei­spiels­wei­se die Wah­rung berech­tig­ter Inter­es­sen des Ver­ant­wort­li­chen oder eines Drit­ten (Art. 6 Abs. 1 lit. f DS-GVO), ist grund­sätz­lich unzu­läs­sig, denn der Ver­ant­wort­li­che muss die Grund­sät­ze der Fair­ness und Trans­pa­renz (Art. 5 Abs. 1 lit. a DS-GVO) beach­ten. Jeden­falls ist ein will­kür­li­ches Wech­seln zwi­schen Ein­wil­li­gung und ande­ren Rechts­grund­la­gen nicht mög­lich.

Die DSK lässt damit die Mög­lich­keit grund­sätz­lich offen, auf eine alter­na­ti­ve Rechts­grund­la­ge zu wech­seln. Das wäre z.B. gera­de dann in Betracht zu zie­hen, wenn eine alt­recht­li­che Ein­wil­li­gung nicht mehr wirk­sam sein soll­te.

Posted by David Vasella

RA Dr. David Vasella ist Rechtsanwalt bei FRORIEP. Er ist auf IT-, Datenschutz- und Immaterialgüterrecht spezialisiert und ist Lehrbeauftragter der Universität Zürich. Er ist Gründer von swissblawg.