Werden personenbezogene Daten verarbeitet, stellt Art. 6 DSGVO unterschiedliche Anforderungen auf, die vorliegen müssen, damit eine Verarbeitung rechtmäßig erfolgen kann. Eine Verarbeitung ist beispielsweise dann rechtmäßig, wenn die betroffene Person einwilligt. Liegt kein sonstiger Grund des Art. 6 DSGVO vor, darf ohne Einwilligung keine Verarbeitung von Daten erfolgen.
Grundsätzlich kann eine Einwilligung formfrei erteilt werden, sodass auch beispielsweise ein Nicken ausreichen kann. Sie muss lediglich eindeutig und bestätigend sein. Für Verantwortliche besteht jedoch eine Dokumentations- und Beweispflicht, was bedeutet, dass sie nachweisen können müssen, dass eine betroffene Person ihre Einwilligung erteilt hat, sodass eine schriftliche Einwilligung im Umkehrschluss immer notwendig ist. Auch das aktive Anklicken eines Kästchens reicht hierfür aus. Wiederum darf ein solches Kästchen nicht automatisch angekreuzt sein und das Häkchen nur nachträglich herausgelöscht werden. Auch nur das reine Scrollen oder Surfen auf einer Homepage bestätigt den Willen des betroffenen nicht eindeutig. Es sollte daher vermieden werden, Einblendungen wie „Sie stimmen der Verarbeitung der Daten zu, indem sie auf der Webseite bleiben“ oder ähnliches.
Eine Einwilligung kann lediglich von Personen ab einem Alter von 16 Jahren erteilt werden. Jüngere Betroffene benötigen die Genehmigung ihrer gesetzlichen Vertreter.
Für den Betroffenen muss in klarer und einfacher Sprache aufgezeigt werden, dass er in eine Datenverarbeitung einwilligt. Weiterhin muss die Einwilligung zweckbezogen sein. Der Betroffene muss genau wissen, in welche Datenverarbeitung er einwilligt und zu welchem Zweck diese Daten genutzt werden.
Die Einwilligung kann jederzeit widerrufen werden und muss so einfach gestaltet sein, wie auch die Erteilung. Der Betroffene muss vorher eindeutig darüber informiert werden, dass ein Widerruf möglich ist.
Ebenso muss die betroffene Person die Einwilligung freiwillig erteilen. Freiwilligkeit liegt dann vor, wenn die eine echte und freie Wahlmöglichkeit besteht, die Einwilligung auch verweigert werden oder zurückgezogen werden kann. Hier spielt das sogenannte Koppelungsverbot eine Rolle. Beispielsweise das Erfüllen eines Vertrages darf nicht von der Einwilligung einer Datenverarbeitung abhängig gemacht werden, welche nicht für die Erfüllung des Vertrages erforderlich ist. Gleiches gilt wenn für die Teilnahme an einem Gewinnspiel die Bedingung gestellt wird, dass die angegebenen Daten auch für andere Werbezwecke verwendet werden dürfen.
Kleiner Zusatz: Bei der Verwendung von Opt-in Verfahren (Häkchen setzen zur Zustimmung) sollte in Erwägung gezogen werden, über Double-Opt-in Verfahren nachzudenken. Hierbei wird einerseits das Häkchen gesetzt und in einem zweiten Schritt noch ein Link angeklickt werden, um die Einwilligung zu bestätigen (beispielsweise bei der Anmeldung zu einem Newsletter). Dies kann vor allem bei der späteren Dokumentation hilfreich sein.
