Die Datenschutz-Grundverordnung (DSGVO) legt strenge Anforderungen an die Einwilligung zur Verarbeitung personenbezogener Daten fest. Damit eine Einwilligung als „informiert“ gelten kann, müssen bestimmte Informationspflichten erfüllt sein. Dieser Artikel beleuchtet die gesetzlichen Anforderungen und gibt Empfehlungen, wie Unternehmen diese Pflichten effektiv erfüllen können.
Gesetzliche Informationspflichten
Nach Art. 4 Nr. 11 DSGVO ist eine Einwilligung eine freiwillige, informierte und unmissverständliche Willensbekundung einer betroffenen Person. Diese muss in Kenntnis der Sachlage erfolgen, was bedeutet, dass die Person mindestens wissen muss, wer der Verantwortliche ist und für welche Zwecke ihre Daten verarbeitet werden.
Der Erwägungsgrund 42 der DSGVO konkretisiert diese Anforderungen weiter. Die betroffene Person ist so umfassend zu informieren, dass sie die Tragweite der Datenverarbeitung und die damit verbundenen Risiken abschätzen kann. Dies umfasst nicht nur die Identität des Verantwortlichen und die Zwecke der Datenverarbeitung, sondern auch die Art der verarbeiteten Daten, das Bestehen eines Widerrufsrechts und mögliche Risiken bei Datenübermittlungen in Drittländer ohne Angemessenheitsbeschluss.
Empfehlungen des Europäischen Datenschutzausschusses (EDSA)
Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 05/2020 weitere Inhalte definiert, die für eine informierte Einwilligung erforderlich sind:
- Identität des/der Verantwortlichen: Die betroffene Person muss wissen, wer für die Datenverarbeitung verantwortlich ist.
- Zweck der Datenverarbeitung: Der Zweck, für den die Einwilligung eingeholt wird, ist klar kommunizieren.
- Art der verarbeiteten Daten: Es muss angegeben werden, welche Daten verarbeitet sind.
- Widerrufsrecht: Die betroffene Person ist über ihr Recht zu informieren, dass die Einwilligung jederzeit zu widerrufen ist.
- Automatisierte Entscheidungen: Informationen über automatisierte Entscheidungen, einschließlich Profiling nach Art. 22 DSGVO, sind bereitzustellen.
- Risiken bei Datenübermittlungen: Mögliche Risiken bei der Übermittlung von Daten in Länder ohne Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO müssen offengelegt werden.
Überschneidungen mit allgemeinen Informationspflichten
Ein Vergleich der von der EDSA geforderten Inhalte mit den allgemeinen Informationspflichten nach Art. 13 und 14 DSGVO zeigt, dass sich viele Anforderungen überschneiden. Um die Informationspflichten effizient zu erfüllen, empfiehlt es sich daher, die Inhalte nach Art. 13 und 14 DSGVO zu berücksichtigen und gleichzeitig abzubilden.
Fazit
Eine kombinierte und ergänzte Information nach Art. 13 und 14 DSGVO bietet sowohl für die betroffene Person als auch für den Verantwortlichen Vorteile. Die betroffene Person wird transparent und umfassend über die geplante Datenverarbeitung informiert, während der Verantwortliche seine gesetzlichen Rechenschaftspflichten nach Art. 5 Abs. 2 DSGVO erfüllen kann. Durch eine sorgfältige Umsetzung dieser Informationspflichten wird die Einwilligung nicht nur rechtskonform, sondern auch vertrauensfördernd gestaltet.
1 Comment