White Paper „Einwilligung: Möglichkeiten und Fallstricke aus der Konsumentenperspektive“ des Forschungsverbunds „Forum Privatheit“ benennt Möglichkeiten, Verbraucherrechte zu stärken
Gemäß der europäischen Datenschutz-Grundverordnung (EU-DSGVO) ist die Einwilligung der Betroffenen in die Verarbeitung ihrer personenbezogenen Daten eine zentrale Rechtsgrundlage. Neu ist dies nicht. Bereits seit jeher ist die Einwilligung eine wesentliche Voraussetzung für die Zulässigkeit der Datenverarbeitung und Ausdruck des Konzepts der informationellen Selbstbestimmung von Personen. Im Bewusstsein der herausragenden Bedeutung der Einwilligung im Datenschutzrecht hatten das Parlament und der Rat der EU daher bei der Entwicklung der DSGVO die Einwilligung weiter zu stärken versucht. Ob die beabsichtigte Aufwertung gelungen ist und welche Tücken die Einwilligung in der Praxis aufweist, nimmt das neueste White Paper des Forschungsverbunds „Forum Privatheit“ unter die Lupe.
Ein weit verbreiteter Mythos in der Einführungsphase der Datenschutz-Grundverordnung war die Annahme, dass für jede Verarbeitung personenbezogener Daten eine neue Einwilligung eingeholt werden müsse. Alternative Verarbeitungsgrundlagen oder auch bereits bestehende Einwilligungserklärungen schienen den Datenverarbeitern nicht genügend Sicherheit zu bieten – es drohten vermeintlich exorbitante Sanktionen durch die neuen Bußgeldbestimmungen der DSGVO. Dabei hätten sich Datenverarbeiter frühzeitig mit den neuen Vorgaben beschäftigen können, lagen doch zwischen Inkrafttreten der DSGVO und ihrer tatsächlichen Geltungsbeginn zwei Jahre. Da diese Zeit von vielen offensichtlich nicht genutzt wurde, folgte – aus Unkenntnis – eine regelrechte Schwemme an Aufforderungen, in Datenverarbeitungen einzuwilligen – wodurch die DSGVO zu Unrecht als „Bürokratiemonster“ diffamiert wurde. Denn die Einwilligung ist nur eine von mehreren Möglichkeiten, um eine rechtmäßige Verarbeitung von personenbezogenen Daten herzustellen.
Wann ist eine Einwilligung rechtmäßig – und was ist überhaupt eine „Einwilligung“?
Rechtmäßig ist eine Datenverarbeitung gemäß DSGVO unter anderem dann, wenn die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. „In der Praxis führt die Einwilligung jedoch zu strukturellen Nachteilen und Machtungleichgewichten“, so Alexander Roßnagel, Sprecher des Forschungsverbunds „Forum Privatheit“ und Professor für Technikrecht an der Universität Kassel. „So kann eine betroffene Person bestimmte Infrastrukturen häufig nur nutzen, wenn sie in die Verarbeitung ihrer personenbezogenen Daten einwilligt – im Sinne von „Friss oder stirb!“. Doch schon vor der DSGVO haben überlange, komplizierte und häufig unverständliche Einwilligungserklärungen die ursprünglich intendierte Funktion der Einwilligung als Instrument einer selbstbestimmten und informierten Entscheidung ad absurdum geführt. Die Folge war und ist, dass vorformulierte Einwilligungserklärungen ungelesen bestätigt und damit letztlich zur Farce werden“, kritisiert Roßnagel. Das Parlament und der Rat der EU versuchten, die Schwächen der Einwilligung zu reduzieren und gaben der DSGVO eine deutlich schärfere Definition der Einwilligung, die eine eindeutige bestätigende Handlung vom Konsumenten fordert und eine beiläufige oder implizite Handlung ausschließt. Außerdem wurden die Informiertheit und Freiwilligkeit als Voraussetzungen stärker betont. An den kritisierten Machtungleichgewichten hat dies jedoch nichts geändert.
Die Einwilligung von Kindern in die Verarbeitung besonders schützenswerter Daten sollte ausgeschlossen werden
Ob mit den Neuerungen insgesamt das Ziel, die Rechte der betroffenen Person zu stärken, gegenüber den Datenverarbeitern auch tatsächlich erreicht wird, untersucht das „Forum Privatheit“ in seinem neuen White Paper – und kommt darin zu dem Schluss, dass die Grundrechte der betroffenen Personen auf Datenschutz und informationelle Selbstbestimmung nicht gestärkt, sondern in vielen Fällen sogar gefährdet werden. Allerdings wird auch gezeigt, wodurch die Regelungen und Maßnahmen in der Praxis, beispielsweise im Bildungsbereich, verbessert werden können. So fordert das „Forum Privatheit“ unter anderem, bei Kindern die Möglichkeit, in die Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. ethnische Herkunft, religiöse Überzeugungen, Gesundheitsdaten, Daten zum Sexualleben usw.) einzuwilligen, auszuschließen. Das Risiko, dass Kinder die möglichen Folgen nicht überschauen können und eine umfassende und langfristige Verarbeitung dieser Daten für sie künftig schädlich sein kann, ist nicht zu vertreten.
Die Einwilligung von Kindern in ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung sollte ausgeschlossen werden
Das „Forum Privatheit“ konstatiert in seinem White Paper, dass das Risiko von Einwilligungen von Kindern in ein Profiling ihrer Persönlichkeit und in ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen enorm hoch ist. „Einerseits ist es schwierig für uns alle, die Wirkungsweise, die Bedeutung, die Folgen und die möglichen Nachteile von solchen Verarbeitungen einzuschätzen, besonders aber für Kinder, deren Persönlichkeit ja noch nicht gefestigt ist. Andererseits ergibt sich bei Kindern ein erhöhtes Schadenspotenzial, weil solche Entscheidungen Auswirkungen auf die Zukunft haben und damit auch das weitere Leben beeinflussen können“, so Marit Hansen, Landesbeauftragte für Datenschutz Schleswig-Holstein und Mitglied im „Forum Privatheit“. Sie fordert, die Einwilligung eines Kindes für derartige Verarbeitungen explizit auszuschließen.
Eine Einwilligung sollte nur eingeholt werden dürfen, wenn kein anderer Erlaubnistatbestand die Verarbeitung rechtfertigt
Zudem untersucht das White Paper das Verhältnis der Einwilligung zu den anderen gesetzlichen Erlaubnistatbeständen: Nach Geltungsbeginn der Datenschutz-Grundverordnung war es gängige Praxis, von betroffenen Personen Einwilligungen für die Verarbeitung ihrer personenbezogener Daten einzuholen, obwohl bereits eine Verarbeitungserlaubnis nach einem anderen gesetzlichen Erlaubnistatbestand vorlag. Die Inanspruchnahme einer Einwilligung neben einem weiteren Erlaubnistatbestand führt jedoch zu einer Verwirrung über die Voraussetzungen und Rechtsfolgen der Datenverarbeitung. Aus diesem Grund fordert das „Forum Privatheit“, dass die Einwilligung und die anderen gesetzlichen Erlaubnistatbestände nur alternativ genutzt werden können.
Der betroffenen Person sollten ausreichend klar bestimmte und verbindliche Informationen gegeben werden, welche Rechtsgrundlage gilt
Ferner wird die gesetzlich geforderte Bestimmtheit der Informationen hinsichtlich der Einwilligung häufig verfehlt. Die Einwilligung ist nur dann bestimmt genug, wenn die betroffene Person vor dem konkreten Einzelfall der Datenverarbeitung abschätzen kann, von wem unter welchen Umständen welche Datenverarbeitung zu welchen Zwecken vorgenommen wird. „In der Praxis umschreibt der Verantwortliche diese Informationen jedoch sehr oft durch unbestimmte Formulierungen, wie etwa ‚für Geschäftszwecke‘, ‚Weitergabe an befreundete Unternehmen‘ oder ‘Verbesserung der Dienstleistung‘ und führt auch alle möglichen zukünftigen Zwecke auf, von denen er noch gar nicht weiß, ob er sie verfolgen will und riskiert damit letztlich die Wirksamkeit der Einwilligung“, kritisiert Roßnagel. Das „Forum Privatheit“ fordert daher, dass der Verantwortliche den Zweck der Datenverarbeitung soweit präzisieren muss, dass die betroffene Person klar erkennen kann, zu welchem Zweck ihre personenbezogenen Daten verarbeitet werden. Auch sollten Verantwortliche nicht die Einwilligung in mehrere Zwecke in einer einzigen Erklärung fordern.
Nichtabdingbarkeit von Rechten der betroffenen Person
Auch hält das „Forum Privatheit“ eine Eingrenzung der Folgen der Einwilligung für notwendig. So enthalte die DSGVO, anders als das alte Bundesdatenschutzgesetz, keine explizite Regelung, wonach eine Einwilligung in den Ausschluss oder die Beschränkung bestimmter Betroffenenrechte unwirksam war. Die DSGVO sollte ausdrücklich regeln, dass eine betroffene Person nicht wirksam in eine Datenverarbeitung einwilligen kann, die ihre Rechte beschränkt.
Einen Einwilligungszwang in kommerzielle Angebote für Schüler*innen und Studierende darf es nicht geben
Auch sollten in allen Bildungsstätten Kompetenzen im Erkennen von und im Umgang mit Datenschutzrisiken als Teil der Medienbildung erlernt und eingeübt werden. „Ein indirekter Zwang durch die verpflichtende Nutzung kommerzieller Angebote für Unterricht und Studium, die nach einer Einwilligung der Schüler*innen und Studierenden deren Daten für (Werbe-)Zwecke verwerten, muss ausgeschlossen werden“, fordert Roßnagel.
Weitere Regelungs- und Gestaltungsvorschläge finden Sie im White Paper „Einwilligung – Möglichkeiten und Fallstricke aus der Konsumentenperspektive“.
