Praxishandbuch DSGVO. Tobias Rothkegel
reicht dagegen mangels eindeutiger Handlung nicht. Soweit zusätzlich eine klare und knappe Form gefordert wird, dürften solche Einwilligungskonzepte schwieriger umzusetzen sein, in denen umfangreiche Erklärungstexte auf zu viele Ebenen verteilt werden.413 Hier ist im Zweifel Kürzung auf das Wesentliche gefragt.414
cc) Besondere Formerfordernisse im Beschäftigungskontext
255
Die Öffnungsklausel in § 88 DSGVO ermöglicht es den Mitgliedstaaten, spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorzusehen. Damit sind national auch im Vergleich zur DSGVO strengere Formerfordernisse für Einwilligungen in Beschäftigungsverhältnissen, etwa die Schriftform denkbar.415 Für eine entsprechende Mindeststatt einer Vollharmonisierung des Beschäftigtendatenschutzes in der EU spricht, dass die in den Trilog-Verhandlungen für § 88 DSGVO vorgeschlagene Verweisung der Mitgliedstaaten in die „Grenzen dieser Verordnung“ am Ende nicht übernommen wurde.416
Nationale Regelungen in Deutschland
256
Der deutsche Gesetzgeber hat von der Befugnis nach § 88 DSGVO Gebrauch gemacht. Gemäß § 26 Abs. 2 S. 3 BDSG hat die Einwilligung Beschäftigter in die Verarbeitung personenbezogener Daten in Deutschland schriftlich oder elektronisch zu erfolgen, „soweit nicht wegen besonderer Umstände eine andere Form angemessen ist“. Laut Gesetzesbegründung soll es für eine „elektronische Einwilligung“ beispielsweise genügen, dass der Arbeitgeber sie als E-Mail abspeichert.417 Daraus wird deutlich, dass der Gesetzgeber nicht die qualifizierte elektronische Signatur des § 126a BGB, sondern eher das in der digitalen Praxis sehr viel relevantere elektronische Verfahren gemäß § 94 TKG bzw. § 13 Abs. 2 TMG bzw. § 28 Abs. 3a S. 1 BDSG a.F. im Blick gehabt haben dürfte, ohne dabei die überholten Anforderungen der jederzeitigen Abrufbarkeit des Inhalts sowie die – aus Nachweiszwecken allerdings weiterhin ratsame418 – Protokollierung der Einwilligung zu erneuern. Es reicht deshalb jeder dauerhaft gespeicherte, nachträglicher Manipulation entzogene Nachweis des Konsenses, der den Aussteller erkennen lässt.419 Ausnahmen von diesem Formerfordernis kommen umso eher in Betracht, je weniger eingreifend die Datenverarbeitung ist, für die um Einwilligung ersucht wird.
b) Freiwilligkeit
257
Freiwillig ist die Einwilligung, wenn der Betroffene zwanglos eine echte oder freie Wahl hat, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden.420 Dafür darf kein Risiko einer Täuschung, Einschüchterung, Nötigung, beträchtlicher negativer Folgen oder einer Verleitung zur Datenpreisgabe durch übermäßige Anreize finanzieller oder sonstiger Natur bestehen, und zwar nicht nur mit Blick auf die Erteilung der Einwilligung, sondern auch hinsichtlich der Möglichkeit, sie jederzeit zu widerrufen.421
258
Als weitere Indizien, die eine Wahlfreiheit in diesem Sinne ausschließen können, nennt die Verordnung:
– die Koppelung an einen Vertrag, für dessen Erfüllung die Verarbeitung der von der Einwilligung umfassten personenbezogenen Daten nicht erforderlich ist,422
– den Umstand, dass in verschiedene Verarbeitungsvorgänge nicht gesondert eingewilligt werden kann, obwohl dies im Einzelfall angebracht ist,423 sowie
– ein klares Ungleichgewicht zwischen betroffener Person und Verantwortlichem.424
aa) Koppelungsverbot
259
Erwägungsgrund 42 S. 2 Alt. 2 zur DSGVO enthält eine Vermutung, dass eine Einwilligung nicht als freiwillig erteilt „gilt“, wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig gemacht wird, obwohl diese für die Erfüllung nicht erforderlich ist. Diese Formulierung steht jedoch im Widerspruch zum maßgeblichen Art. 7 Abs. 4 DSGVO, wonach diesem Umstand bei der Beurteilung der Freiwilligkeit nur „in größtmöglichem Umfang Rechnung getragen“ werden müsse. Eine Lösung des Konflikts bietet die grundrechtskonforme Auslegung der Verordnung. Danach würde ein absolutes Koppelungsverbot nicht nur die Grundfreiheiten der Verantwortlichen, sich beruflich und unternehmerisch frei zu entfalten,425 über Gebühr beeinträchtigen, sondern auch die Hoheit der Betroffenen, über die eigenen personenbezogenen Daten frei bestimmen und dadurch insbesondere innovative datengetriebene bzw. werbefinanzierte Geschäftsmodelle in Anspruch nehmen zu können.426
260
Zu weitgehend ist daher die Interpretation des Europäischen Datenschutzausschusses, nach der Art. 7 Abs. 4 DSGVO sicherstelle, dass die Verarbeitung personenbezogener Daten, um deren Einwilligung ersucht wird, nicht direkt oder indirekt zur Gegenleistung für einen Vertrag werden könne,427 weil personenbezogene Daten generell nicht als handelsfähige Ware anzusehen seien.428 Bestimmt man darüber hinaus das zur Vertragserfüllung Erforderliche aus objektiver Sicht eines vernünftigen Betroffenen ohne gleichrangige Berücksichtigung des Geschäftsmodells des Verantwortlichen,429 liegt die übermäßige Einschränkung der Vertragsautonomie auf der Hand: Telekommunikationsanbieter könnten zum Beispiel einen allein durch E-Mail-Werbung finanzierten Mobilfunktarif nicht anbieten und Betroffene diesen nicht unentgeltlich in Anspruch nehmen, weil die Einwilligung in elektronische Direktwerbung für die Erbringung von Telekommunikationsdienstleistungen objektiv nicht erforderlich ist.
261
Die Betroffenen fragen solche Produkte in der Realität aber nach und sie sind, vor die Wahl gestellt, auch bereit, mit ihren personenbezogenen Daten anstatt mit Geld zu bezahlen. Das hat mit Zwang nichts zu tun, sondern ist Ausdruck der Selbstbestimmung mündiger Verbraucher, die ihren Niederschlag auch in Art. 3 Abs. 1 S. 2 der EU-Richtlinie über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen430 gefunden hat. Dort wird die Bereitstellung von personenbezogenen Daten oder die Zusage von deren Bereitstellung als Gegenleistung für digitale Inhalte oder Dienstleistungen anstelle einer Geldzahlung anerkannt, auch wenn die Formulierungen im Richtlinientext und den Erwägungsgründen davon geprägt sind, diesen Umstand möglichst nicht beim Namen zu nennen. Das und der erklärte Vorrang der DSGVO431 sind als Kompromissergebnis der kontroversen Diskussionen im EU-Parlament und EU-Rat zu verstehen,432 die letztlich doch in der Erkenntnis gemündet haben, dass datengetriebene Geschäftsmodelle in verschiedenen Formen in einem erheblichen Teil des Marktes auftreten und somit Regelungsbedarf für vertragliche Rechtsbehelfe der Verbraucher in diesem Zusammenhang besteht.433
262
Aus diesen Gründen ist das Koppelungsverbot der DSGVO nach hier vertretener Auffassung eingeschränkt zu verstehen.434 Es greift nach dieser Normauslegung erst, wenn die Ablehnung vertraglicher oder vertragsähnlicher435 Angebote wegen Verweigerung oder Widerrufs der Einwilligung einen wesentlichen Nachteil im Sinne eines Zwangs begründen würde, der die Rationalität der Entscheidung ausschaltet und Selbstbestimmung in Fremdbestimmung verkehrt Ob dies zutrifft, ist wertend im Einzelfall zu betrachten und kann etwa vorliegen, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist.436 Ein bloßes Anlocken durch Versprechen einer Vergünstigung wie etwa der Teilnahme an einem Gewinnspiel soll nach Ansicht des OLG Frankfurt am Main jedenfalls nicht ausreichen, weil der Verbraucher selbst entscheiden könne und müsse, ob ihm die Teilnahme die Preisgabe seiner Daten wert ist.437 Auch für den Generalanwalt beim EuGH Szpunar ist eine solche Koppelung unbedenklich. Nach seiner Auffassung bestehe in dieser Konstellation die Hauptpflicht des Teilnehmers darin,