Die DSK (Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden) hat das Kurzpapier Nr. 20 zu Einwilligungen nach der DSGVO veröffentlicht. Es enthält an sich wenig Neues, aber einige Hinweise sind bemerkenswert:
- Nachweis der Einwilligung: Der Verantwortliche muss die Erteilung nachweisen können. Diese Pflicht ist nicht nur als Beweislastregel zu verstehen, sondern als Dokumentationspflicht. Elektronische Einwilligungen sind zu protokollieren. Nicht ausreichend wäre lediglich der Nachweis einer ordnungsgemässen Gestaltung der entsprechenden Webseite, wenn die Einwilligung im Einzelfall nicht nachgewiesen werden kann.
- Weitergeltung altrechtlicher Einwilligungen: Nach ErwGr 171 gelten vor Inkrafttreten der DSGVO erteilte Einwilligungen fort, sofern die Art dieser Einwilligungen “den Bedingungen dieser Verordnung” (der DSGVO) entspricht. Dies setzt u.a. voraus, dass die Einwilligung im Einzelfall dokumentiert ist, dass sie freiwillig abgegeben wurde, dass sie für den konkreten Fall, informiert und unmissverständlich abgegeben wurde und dass der Verantwortliche den Widerruf ermöglicht und informiert, wie widerrufen werden kann.
Problematisch beim zweiten Punkt ist, dass damit altrechtliche Einwilligungen u.a. dann entfallen, wenn bei der Erteilung nicht auf das Widerrufsrecht hingewiesen worden war. In der Literatur ist dieser Punkt strittig. m.E. geht dies zu weit. Folgt man der Auffassung der DSK, wären solche Einwilligung erneut einzuholen (“Repapering”), was enorm aufwendig sein kann.
Zum Wechsel auf eine alternative Rechtsgrundlage äussert sich die DSK wie folgt:
Die Datenverarbeitung in diesem Fall auf eine andere Rechtsgrundlage zu stützen, beispielsweise die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1 lit. f DS-GVO), ist grundsätzlich unzulässig, denn der Verantwortliche muss die Grundsätze der Fairness und Transparenz (Art. 5 Abs. 1 lit. a DS-GVO) beachten. Jedenfalls ist ein willkürliches Wechseln zwischen Einwilligung und anderen Rechtsgrundlagen nicht möglich.
Die DSK lässt damit die Möglichkeit grundsätzlich offen, auf eine alternative Rechtsgrundlage zu wechseln. Das wäre z.B. gerade dann in Betracht zu ziehen, wenn eine altrechtliche Einwilligung nicht mehr wirksam sein sollte.