Umfang der Einwilligung: jeder Zweck und jede Verarbeitung = eine Einwilligung?

Bekanntlich wird auch in Zukunft die Einwilligung eine mögliche Grundlage für die Verarbeitung personenbezogener Daten darstellen (Art. 6 Abs. 1 (a) DS-GVO). Art. 7 DS-GVO regelt zudem weitere Voraussetzungen, die eine Einwilligung erfüllen muss, um wirksam zu sein.

Erwägungsgrund 25 erläutert etwas genauer, was der europäische Gesetzgeber als Form einer wirksamen Einwilligung ansieht und was nicht. So kann etwa das Anklicken einer Box auf einer Webseite ausreichend sein oder auch die Auswahl bestimmter technischer Einstellungen bei der Nutzung von Informationsdiensten (was sich z.B. auf Browsereinstellungen beziehen könnte).

Nicht ausreichend soll jedoch ein Schweigen des Betroffenen sein, wie auch der Einsatz bereits vorausgewählter Boxen auf Webseiten. Gerade die letzte Erläuterung spricht dafür, dass der bekannte Opt-out-Mechanismus, zumindest für sich allein betrachtet, nicht ausreicht, um eine wirksame Einwilligung abzugeben. Dies könnte sich eventuell anders darstellen, wenn ein Kästchen etwa bereits ausgewählt ist und er Nutzer dann noch einmal aktiv auf eine Schaltfläche (z.B. „einverstanden“) klicken muss. Denn dann liegt eine aktive Handlung des Betroffenen vor.

Nach Erwägungsgrund 25 muss eine Einwilligung alle Datenverarbeitungsprozesse umfassen, die demselben Zweck oder denselben Zwecken dienen. Es wird also möglich sein, eine einzige Einwilligung in mehrere Datenverarbeitungen zu erteilen, die für denselben oder dieselben Zwecke durchgeführt werden.

Sollte eine Datenverarbeitung (oder mehrere) unterschiedlichen Zwecken dienen, so muss sich die Einwilligung auf alle Datenverarbeitungen beziehen. Auch diese Vorgabe spricht dafür, dass in Zukunft nicht für jede einzelne Datenverarbeitung eine Einwilligung eingeholt werden muss. Ebenso wenig muss eine Einwilligung für jeden einzelnen Zweck eingeholt werden. Eine Einwilligung kann bzw. soll gerade mehrere (auch unterschiedliche) Zwecke und Datenverarbeitungen umfassen.

Zuletzt noch ein Hinweis auf den recht interessanten Erwägungsgrund 25aa. Dort erkennt der Gesetzgeber ein (gerade im Bereich der Datenanalyse oft vorgebrachtes) Problem, dass häufig bei Datenerhebung nicht genau gesagt werden kann, für welche Zwecke die Daten später auch genutzt werden könnten. Für den Bereich der Wissenschaft und Forschung statuiert dieser Erwägungsgrund daher eine Ausnahme, indem eine Einwilligung auch dann als wirksam angesehen wird, wenn die Zwecke der Datenverarbeitung auf bestimmte Bereiche der Forschung bezogen sind. Dies ist ausreichend.