Neben der gesetzlichen Erlaubnis zur Datenverarbeitung stellt die Einwilligung des Betroffenen die zweite Möglichkeit dar, um zulässige Datenverarbeitung zu betreiben (vgl. Grundprinzip des Datenverarbeitungsverbots mit Erlaubnisvorbehalt). Der Gesetzgeber (§ 4a BDSG) und die Rechtssprechung stellen an die Einwilligung strenge Anforderungen.

Grundlegende Voraussetzungen der Einwilligung

Einwilligung ist das vorherige (!) Einverständnis des Betroffenen, das heißt, das Einverständnis muss vorliegen, bevor die Datenverarbeitung einsetzt, vgl. § 183 BGB.

Der Betroffene muss in jedem Fall urteils- und einsichtsfähig sein. Das bedeutet, dass er nach seinen geistigen Fähigkeiten und Kenntnissen in der Lage sein muss, den Inhalt und die Bedeutung der Einwilligung zu erfassen.

Schließlich hat der Betroffene eine Widerrufsmöglichkeit. Der Widerruf ist hier formlos möglich. Sofern Daten schon erhoben, verarbeitet oder genutzt worden sind, kann der Betroffene dies nur dann tun, wenn das Festhalten an der Einwilligung objektiv nicht mehr zumutbar ist.

Voraussetzungen der Einwilligung nach § 4a BDSG

Weiteren Voraussetzungen für eine wirksame Einwilligung sind in § 4 a BDSG geregelt:

Zunächst darf eine Einwilligung nicht pauschal formuliert sein. Sie muss vielmehr ein gewisses Maß an Bestimmtheit erfüllen. Dies ergibt sich zwar nicht direkt aus § 4 a BDSG, kann aber daraus hergeleitet werden.

Ferner muss es sich bei der Einwilligung um eine so genannte informierte Einwilligung handeln. Der Betroffenen muss in umfassender Kenntnis der Sachlage in die Datenverarbeitung einwilligen. Er muss demzufolge von der betroffenen Stelle über alle entscheidungsrelevanten Informationen informiert werden. Verzichtet werden kann lediglich auf Informationen, wenn diese offensichtlich sind oder der Betroffene sie hätte kennen müssen.

Beispiel für entscheidungsrelevante Informationen: Verwendungszweck, eigene Identität, potentieller Datenempfänger, Speicherdauer.

Sie muss auf einer freien Entscheidung des Betroffenen, also ohne Zwang oder äußeren Druck, beruhen. Der Betroffene muss selbst entscheiden können, ob und wie seine Daten erhoben, verarbeitet oder genutzt werden.

Aus dieser Voraussetzung ergibt sich auch das sog. Koppelungsverbot. Dieses wird allgemein aus § 4 a BDSG hergeleitet und ist zwischenzeitlich im Besonderen in § 28 Abs. 3 b S. 1 BDSG (Adresshandel und Werbung) normiert. Das Koppelungsverbot besagt, dass der Abschluss eines Vertrags nicht von einer Einwilligung abhängig gemacht werden darf, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Maßgeblich für die Beurteilung der Zumutbarkeit ist nicht nur, ob eine marktbeherrschende Stellung gegeben ist, sondern auch die konkrete Situation am Markt (vgl. OLG Brandenburg 10.01.2006, 7 U 52/05). 

Vorformulierte Einwilligungsklauseln müssen als Allgemeine Geschäftsbedingungen (AGB) einer AGB-Kontrolle standhalten. 

Außerdem ist der Betroffene darauf hinzuweisen, zu welchem Zweck die Erhebung, Verarbeitung oder Nutzung dient.

Die Einwilligung bedarf der Schriftform. Hiervon darf nur aufgrund besonderer Umstände abgewichen werden.

Beispiel: Bei Rechtsgeschäften im Internet kann gegebenenfalls die "schriftliche Einwilligung" durch ein gesetztes Häkchen in einem dafür vorgesehenen Feld erfolgen.

Hinsichtlich der Abweichung von der Schriftform existieren teilweise bereichsspezifische Vorgaben, die ggf. zu beachten sind. Für den Online-Bereich ergibt sich dies z.B. aus § 13 Abs. 2 TMG.

Eine Zusammenfassung der Voraussetzungen einer datenschutzrechtlichen Einwilligung ist hier als Checkliste abrufbar.