Читать книгу DS-GVO/BDSG - David Klein - Страница 493

19

Die Regelung der Beweislast in Art. 7 Abs. 1 ist eindeutig: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Die Wahl des entsprechenden Tempus spiegelt wider, dass die Einwilligung vor der eigentlichen Verarbeitung eingeholt sein muss, um die Rechtmäßigkeit dieser Verarbeitung zu begründen. Die Zuweisung der Beweislast hin zum Verantwortlichen steht im Licht der grundsätzlich bei der Verarbeitung personenbezogener Daten bestehenden Rechenschaftspflicht (Art. 5 Abs. 2).

20

In welcher Form der Nachweis von Seiten der verantwortlichen Stelle im Streitfall zu leisten ist, definiert Art. 7 nicht eindeutig. Mit der Dokumentation der Einwilligung weist der Verantwortliche die Rechtmäßigkeit nach, weswegen eine schriftliche oder textliche Einwilligung ratsam erscheint. Sie entspricht einer „Willensbekundung in Form einer Erklärung“[18] am besten. Gleichwohl ist eine mündliche Erklärung vom Betroffenen ebenfalls als zulässige Einwilligung qualifizierbar.[19] In diesem Fall wird die Beweislast für den Verantwortlichen jedoch zur Herausforderung. Trotz der Fokussierung auf die Nachweisfunktion wird mit Art. 7 Abs. 1 eine Beweislastpflicht implementiert, ohne dass eine Einwilligung allein aufgrund mangelnder Schriftlichkeit unwirksam ist.[20] In der Regel dürfte es für den Verantwortlichen ausreichend sein, Nachweise vorzuhalten, die den Prozess der Einholung der Einwilligung im Einklang mit den gesetzlichen Vorgaben dokumentieren.[21] Daneben sollten für die jeweilige Einwilligung die Umstände der Einholung dokumentiert werden, etwa der Zeitstempel der Einwilligung oder ein Double-Opt-In.[22] Gerade bei Diensten von Informationsgesellschaften ist die Nutzung sogenannter Consent Management Plattformen empfehlenswert, die entsprechende Schnittstellen zu gängigen Customer Relationship Systemen (CRM) vorsehen.

21

Aus den Regelungen der Verordnung ergibt sich nicht, dass eine einmal erteilte Einwilligung allein durch das Verstreichen eines langen Zeitraums unwirksam werden kann. Eine einmal erteilte Einwilligung kann auch nach erheblichem Zeitablauf dem Beweis dienen. Eine „Auffrischung“ der Einwilligung ist nicht notwendig, von der Verordnung nicht vorgesehen und in der Praxis nicht handhabbar.[23]