Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 322

54

Wird die Verarbeitungserlaubnis auf eine Einwilligung gestützt, muss die betroffene Person vom Verantwortlichen darüber vorher so umfassend informiert worden sein, dass sie die Risiken einer Einwilligung bewerten kann (informed consent, siehe Rn. 37). Außerdem sind die weiteren Anforderungen an die Wirksamkeit der Einwilligung aus Art. 4 Nr. 11 und Art. 7 DSGVO zu beachten (siehe Art. 7 Rn. 37ff.). Die Einwilligung muss sich auf jede der vorgesehenen Verarbeitungsphasen (Art. 4 Nr. 2 DSGVO) beziehen und den Zweck der Verarbeitung benennen. Dabei ist eine pauschale Einwilligung in die Datenerhebung und beliebige Verwendung unwirksam (Art. 7 Rn. 31, 135). Ist der beabsichtigte Zweck erfüllt78 oder ist die in einer Einwilligung als Bedingung genannte Frist abgelaufen, darf eine weitere Datenverarbeitung nicht mehr auf die Einwilligung gestützt werden. Eine einmal erteilte Einwilligung erlischt aber nicht durch Zeitablauf (Art. 7 Rn. 76).79 Wurde eine Einwilligung von einem Erziehungsberechtigten für das minderjährige Kind erteilt, bedarf es dann, wenn die Daten über das Kind auch nach Eintritt der Volljährigkeit weiter genutzt werden sollen, der Einwilligung der nun volljährigen betroffenen Person. In einem vom LG Frankfurt entschiedenen Fall ging es darum, dass ein Foto einer 16-jährigen 19 Jahre später erneut veröffentlicht werden sollte und dies auf die ursprüngliche Einwilligung des Vaters in die Erstveröffentlichung gestützt wurde.80 Zwar handelte es sich im Verfahren um eine Einwilligung in die Veröffentlichung eines Fotos gem. § 22 Abs. 1 Satz 1 KUG; die Erwägungen des LG Frankfurt/M. sind aber auf eine Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO übertragbar.81 Wenn das OLG Frankfurt im Berufungsverfahren die Neuveröffentlichung dennoch zuließ, dann deswegen, weil es das Foto als Dokument der Zeitgeschichte einstufte.82

55

Eine Einwilligung, bei der die vorgenannten Anforderungen nicht beachtet werden, ist unwirksam. Fehlt es dem Verantwortlichen an einem Erlaubnistatbestand, der eine konkrete Verarbeitung für einen festgelegten Zweck legitimiert, so ist die Verarbeitung rechtswidrig.83 Ohne Rechtsgrundlage sind die rechtswidrig verarbeiteten Daten zu löschen. Wurde die Einwilligung allerdings vor Wirksamwerden der DSGVO erteilt und damit nicht alle nach der DSGVO zu erfüllenden Anforderungen beachtet, soll der Verantwortliche die Möglichkeit haben, die Einwilligung nun DSGVO-konform einzuholen, ohne dass die bereits gespeicherten Daten gelöscht werden müssten.84 Die Berliner Beauftragte für den Datenschutz hatte bei einer Überprüfung der neu eingeführten elektronischen Gesundheitsakte festgestellt, dass nicht für alle Funktionalitäten des Systems jeweils eine separat abzugebende Einwilligung vorlag und auch nicht für die kontinuierlich neu hinzukommenden Features. Sie räumte den Verantwortlichen ein, dem Mangel nach Information der betroffenen Personen über die neuen Funktionalitäten durch ergänzende Einwilligungen abzuhelfen.85 Es empfiehlt sich nach dieser von der Aufsichtsbehörde aufgezeigten Möglichkeit der „Heilung“ von Mängeln, im Einzelfall, ggf. nach einer Rückversicherung bei der Aufsichtsbehörde, zu prüfen, ob entgegen der Regel eine nachträgliche Einwilligung datenschutzrechtskonform eingeholt werden kann, um den Datenbestand zu retten.86 Bis eine Einwilligung vorliegt, sollte die Nutzung der Daten der jeweils betroffenen Person nicht fortgesetzt werden.