Einwilligungserklärung nach DSGVO: Das müssen Sie beachten

Zunächst noch einmal zurück zur DSGVO. In einem Punkt könnte die Panik stimmen: Es ist grundsätzlich verboten, personenbezogene Daten zu verarbeiten. „Grundsätzlich“ heißt, dass es natürlich einige Ausnahmen gibt, die eine Verarbeitung erlauben. Beispielsweise dürfen Daten verarbeitet werden, wenn ein Vertrag (z.B. Kaufvertrag) erfüllt werden soll, es das Gesetz vorschreibt (z.B. Steuerdaten) oder ein berechtigtes Interesse an der Verarbeitung besteht (z.B. Website zur Eigendarstellung). Weitere stehen in Art. 6 Abs. 1 DSGVO. Findet man trotzdem keine Ausnahme, so bleibt die Einwilligung als letzte Möglichkeit.

Typische Fälle für eine notwendige Einwilligungserklärung sind etwa die Veröffentlichung von Mitarbeiterfotos auf der Website oder in Social Media Kanälen, Verarbeitung von Gesundheitsdaten, Weitergabe an Dritte, Anmeldung zum Newsletter, Aufnahme von Bewerbungsunterlagen in einen Bewerberpool, aber auch das Website-Tracking, das Profiling und Drittlandsübermittlung durch Google Analytics.

Zunächst einmal muss die Einwilligung auf freiwilliger Basis erfolgen. Das heißt, dass der oder die Betroffene eine echte und freie Wahl haben muss und kein Nachteil entstehen darf, falls nicht eingewilligt wird. Das heißt auch, dass sie nicht von der Erfüllung eines Vertrags abhängig gemacht werden darf (sog. Kopplungsverbot). Weiterhin muss sie informiert erfolgen und durch eine eindeutige Handlung erteilt werden.

Informiert heißt, dass die einwilligende Person transparent aufgeklärt werden muss, wer welche Daten zu welchem Zweck wie lange verarbeitet und ob diese ggf. an Dritte weitergegeben werden können. Aus dieser Voraussetzung folgt auch, dass eine Einwilligung nur für den Einzelfall, d.h. nicht pauschal erteilt werden darf. Ferner müssen die Betroffenenrechte inkl. dem jederzeitigen Widerrufsrecht und mögliche Risiken bei der Übermittlung in ein Drittland ohne ausreichend Datenschutz (siehe auch EU-US Privacy Shield) in der Einwilligungserklärung beschrieben werden. All das muss in leicht verständlicher Sprache erfolgen.

Die eindeutige Handlung liegt in einem aktiven Tun der oder des Betroffenen. Das kann eine mündliche Erklärung oder das Ankreuzen eines Kästchens sein, welche frei gewählt werden können. Zu beachten ist an dieser Stelle besonders, dass diese Kästchen nicht vorab angekreuzt sein dürfen (Opt-Out), da dann die Einwilligung ungültig ist.

Die Einwilligung muss nicht schriftlich erfolgen. Zum Nachweis gegenüber der Aufsichtsbehörde sind die schriftliche Erteilung bzw. eine Protokollierung der elektronisch abgegebenen Einwilligung jedoch ratsam. Bewahren Sie die Einwilligungserklärung daher mindestens solange auf, wie die Datenverarbeitung andauert. Wie lange Sie diese noch nach Widerruf durch den Betroffenen aufbewahren, hängt meist von der Datensensibilität ab und kann pauschal nicht beantwortet werden.

Einwilligungserklärungen werden immer freiwillig erteilt und können jederzeit ohne Grund widerrufen bzw. ebenfalls verweigert werden. Das bedeutet, dass die Datenverarbeitung sofort eingestellt bzw. nicht begonnen werden darf, da das Verbot zur Datenverarbeitung wieder ins Spiel kommt. Eine Fortsetzung bzw. der Beginn der Verarbeitung könnte dann ein Bußgeld nach sich ziehen.

In Unternehmen ist die Freiwilligkeit ein umstrittenes Thema. Aufgrund des starken Ungleichgewichts der Vertragsparteien muss besonders darauf geachtet werden, dass dem Mitarbeiter kein Nachteil entsteht. Wählen Sie daher immer, wenn möglich, eine andere Rechtsgrundlage als die Einwilligung. Viele Datenverarbeitungen lassen sich bspw. aufgrund eines Vertrags oder auch einer Betriebsvereinbarung durchführen.

Diese beiden Gründe stellen dar, warum die Einwilligungserklärung das letzte Mittel sein sollte.