GMDS Arbeitsgruppe
„Datenschutz und IT-Sicherheit im Gesundheitswesen“ (DIG)

Datenschutzhinweise Cookie-Hinweise Impressum Kontakt Sitemap

Anforderungen der DS-GVO an die Einwilligung

Zusammenfassung, Copyright, Einleitung, Form der Einwilligung, Nachweispflicht, Anforderungen an eine Einwilligung, Einwilligung Kinder in "Dienste der Informationsgesellschaft", Besonderheiten bei der Datenverarbeitung nicht einwilligungsfähiger Patienten, Sanktionierung, "Bestandswahrung", Fundstellen in der DS-GVO, Literatur, Checkliste
Freiwilligkeit, Informiertheit, Bestimmtheit, Widerrufbarkeit, Konsequenzen der Teilunwirksamkeit einer Einwilligung

Anforderungen an eine Einwilligung

Informiertheit

Gemäß Art. 6 Abs. 1 lit. a DS-GVO bzw. Art. 9 Abs. 2 lit. a DS-GVO muss eine Einwilligung für einen oder mehrere festgelegte Zwecke ausdrücklich erteilt werden. Dieses wiederum hat zur Konsequenz, dass eine Einwilligung immer nur zweckgebunden abgegeben werden kann.

Erwägungsgrund 32 führt hierzu aus, dass eine Einwilligung "für den konkreten Fall, in informierter Weise und unmissverständlich" abgegeben werden muss. Der damit korrespondierende Erwägungsgrund 42 führt weiter aus: Damit die betroffene Person "in Kenntnis der Sachlage ihre Einwilligung geben kann", sollte sie "mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen".

Entsprechend Erwägungsgrund 42 sollte eine vom Verantwortlichen "vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung" gestellt werden, welche den der Einwilligung zugrundeliegenden Sachverhalt der betroffenen Person hinreichend genau erklärt. Diese Einwilligungserklärung sollte dabei keine missbräuchlichen Klauseln⁽¹⁾ beinhalten.

Transparenzanforderungen nach Artt. 13,14 DS-GVO

Eine Einwilligung bzw. die Anforderungen an die Informiertheit des Betroffenen, sind in Zusammenhang mit den in Artt. 13 und 14 enthaltenen Anforderungen zu betrachten. In diesen Artikeln werden die Mindestanforderungen der Informationspflichten eines Verantwortlichen an einen Betroffenen dargelegt, wenn dieser Daten vom Betroffenen direkt erheben ("Direkterhebung") bzw. sich der Daten des Betroffenen, die von einem Dritten erhoben wurden, bedienen will. Für eine Einwilligung bedeutet dies, dass man eine Informiertheit des Betroffenen erst annehmen kann, wenn er diese von der Verordnung vorgeschriebenen Informationen vor der Datenerhebung vom Verantwortlichen mitgeteilt bekommt. Dabei stellen die in Artt. 13, 14 genannten Informationen lediglich die Mindestanforderungen dar; im jeweiligen Einzelfall kann es notwendig sein, dem Betroffenen weitere, für die wirksame Einwilligung notwendige Informationen geben.

Mit Artt. 13 und 14 DS-GVO steigen mithin die Transparenzanforderungen, die der Verantwortliche gegenüber dem Einwilligenden hat. Die Mindestinhalte, über die der Betroffene informiert werden muss und die deshalb auch im Rahmen einer Einwilligungserklärung gegeben werden müssen, sind entsprechend Artt. 13, 14 DS-GVO:

Der Name und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters als auch des Datenschutzbeauftragten (sofern vorhanden)
Die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen
Die Rechtsgrundlage, auf welcher die Datenverarbeitung erfolgen darf
Die Speicherdauer der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
Die Empfänger (bzw. ggfs. die Kategorien von Empfängern) der personenbezogenen Daten
Die Informationen,
- ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist,
- ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte
Der Hinweis, dass (und wie) der Betroffene seine nachfolgend genannten Rechte ausüben kann:
- Recht auf Auskunft über die betreffenden personenbezogenen Daten,
- Recht auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung,
- Recht auf einen Widerspruch gegen die Verarbeitung,
- Recht auf Datenübertragbarkeit,
- Recht auf Beschwerde bei einer Aufsichtsbehörde.
Falls die Datenverarbeitung auf Grundlage einer Einwilligung beruht, ist zwingend der Hinweis auf das Bestehen eines Rechts erforderlich, die Einwilligung jederzeit widerrufen zu können, ohne dass dadurch jedoch die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird
Falls die Datenverarbeitung eine automatisierte Entscheidungsfindung beinhaltet, so sind aussagekräftige Informationen über die involvierte Logik der automatisierten Entscheidungsfindung sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person anzugeben
Sofern geplant muss auch die Absicht des Verantwortlichen aufgeführt werden, die personenbezogenen Daten an ein Drittland (außerhalb der EU) oder eine internationale Organisation zu übermitteln, inklusive der Rechtsgrundlage, welche die Übermittlung legitimiert (z. B. basierend auf einem Angemessenheitsbeschluss der Kommission)

All diese vorstehenden Informationen müssen jedoch dann nicht gegeben werden, "wenn und soweit die betroffene Person bereits über die Informationen verfügt" (Art. 13 Abs. 4 bzw. Art. 14 Abs. 5 DS-GVO).

Zur Informiertheit gehören darüber hinaus alle Informationen, die der Betroffene zu einer qualifizierten Entscheidung benötigt. Z.B. muss der Betroffene die Folgen einer verweigerten Einwilligung oder des Widerrufs einer Einwilligung beurteilen können und muss deshalb diese Informationen erhalten.

(1) Die Definition und Auslegung bzgl. "missbräuchlicher Klauseln" erfolgt entsprechend Richtlinie 93/13/EWG (Online), wonach - entsprechende Umsetzung der RL durch den Mitgliedstaat vorausgesetzt ??? gemäß Art. 5 RL 93/13/EWG bei "Zweifeln über die Bedeutung einer Klausel gilt die für den Verbraucher günstigste Auslegung" zu erfolgen hat und missbräuchliche Klauseln für einen Verbraucher entsprechend Art. 6. Abs. 1 RL 93/13/EWF grundsätzlich "für den Verbraucher unverbindlich sind".