Praxishandbuch DSGVO

bb) Trennungsgebot

263

Das Gebot der gesonderten Einholung einer Einwilligung zielt anders als das frühere deutsche Recht nicht auf deren Trennung von anderen Erklärungen,441 sondern auf die Einräumung der Möglichkeit ab, einzelnen Datenverarbeitungsvorgängen jeweils separat die Zustimmung erteilen oder versagen zu können, soweit dies im Einzelfall angebracht ist.442 Wann eine Trennung angebracht ist, wird offen gelassen. Einen Anhaltspunkt gibt aber Erwägungsgrund 32 S. 5 DSGVO, der eine gesonderte Einwilligung pro Verarbeitungszweck nahelegt, wobei mehrere einem Zweck dienende Vorgänge zusammengefasst werden können.443 Problematisch dürften danach jedenfalls solche sog. „Take-it-orleave-it-Konzepte“ sein, bei denen der Betroffene hinsichtlich einer Vielzahl von Verarbeitungsvorgängen/-zwecken nur vor die Wahl gestellt wird, seine Einwilligung ganz oder gar nicht zu erteilen.444 Aus verhaltenswissenschaftlicher Sicht ist bei der Umsetzung granularer Einwilligungskonzepte jedoch zu beachten, dass zu viele Auswahlmöglichkeiten den ungewünschten Effekt mit sich bringen können, Verbraucher davon abzuhalten, Entscheidungen zu treffen, sog. „Choice-Overload“.445

Praxishinweis

Um bei elektronischen Einwilligungen gleichzeitig dem Trennungsgebot und dem Dienstunterbrechungsverbot446 gerecht zu werden, empfiehlt sich ein mehrschichtiges Konzept447 mit benutzerfreundlicher One-Click-Option wie folgt: Auf der ersten Ebene wird die Möglichkeit gegeben, durch Ankreuzen nur einer Checkbox mehreren Datenverarbeitungsvorgängen gleichzeitig zuzustimmen. Der Einwilligungstext muss aussagekräftig und kurz sein sowie einen deutlichen verlinkten Hinweis enthalten (z.B. „Wenn ich einzelne Verarbeitungsvorgänge von meiner Auswahl ausschließen möchte, kann ich hier gesonderte Einwilligungen erteilen.“). Dieser sprechende Link führt auf eine zweite Ebene, wo über mehrere anzukreuzende Checkboxen gesondert in jeden einzelnen Vorgang eingewilligt werden kann.

cc) Klares Ungleichgewicht

264

Die Freiwilligkeit einer Einwilligung kann schließlich ausgeschlossen sein, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht. Das wird nach Erwägungsgrund 43 S. 1 insbesondere angenommen, „wenn es sich bei dem Verantwortlichen um eine Behörde handelt, und es deshalb in Anbetracht aller Umstände in dem speziellen Fall unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde“.

265

Es entspricht indes nicht der Lebenswirklichkeit, bei einem Über-/Unterordnungsverhältnis von vornherein und starr von einem klaren Ungleichgewicht auszugehen. Es kommt vielmehr auf die konkrete Situation an, in der eine Einwilligung nachgefragt wird. Es existiert nicht bei jeder Behörde und unabhängig von der konkreten Situation Anlass für die Besorgnis, der Bürger könnte in Ehrfurcht vor der Institution erstarren und dem Ersuchen unter Ausschaltung seiner Besonnenheit und der Rationalität seiner Entscheidungsgewalt zwanghaft nachgeben. Denn die Verweigerung einer Einwilligung kann unter den jeweiligen Umständen auch keinerlei ersichtliche Nachteile zur Folge haben.448 Nur hierauf kann es aber ankommen, so dass Erwägungsgrund 43 S. 1 nicht nur etwas aus der Zeit gefallen, sondern für die Beurteilung der Freiwilligkeit ohne zusätzliche Heranziehung der Kriterien in Erwägungsgrund 42 S. 5 auch nicht sonderlich tauglich erscheint.

266

Ebenso verhält es sich bei sozialen und wirtschaftlichen Abhängigkeitsverhältnissen. Obwohl die Europäische Kommission es in ihrem Verordnungsentwurf noch vorgeschlagen hatte,449 gilt das Beschäftigungsverhältnis zwischen Arbeitgeber und Arbeitnehmer jedenfalls auf dem Papier nicht mehr als Paradebeispiel für ein die Freiwilligkeit einer Einwilligung von vornherein ausschließendes Ungleichgewicht. Nach Ansicht des Europäischen Datenschutzausschusses ist es im Beschäftigungsverhältnis in der Regel aber unwahrscheinlich, dass die betroffene Person ihrem Arbeitgeber die Einwilligung in die Datenverarbeitung verweigern kann, ohne Angst zu haben oder wirklich Gefahr zu laufen, dass die Weigerung zu Nachteilen führt.450

267

Eine freiwillige Zustimmung kommt ausnahmsweise in Betracht, wenn sie nicht vorab in allgemeiner Form im Arbeitsvertrag, sondern anlassbezogen während des laufenden Arbeitsverhältnisses gegeben wird.451 So ist die Freiwilligkeit einer vor Einstellung eines Arbeitnehmers erbetenen Einwilligung weiterhin fraglich, wenn zwar theoretisch das Recht zur Verweigerung unbenommen, aber mit der beträchtlich nachteiligen und nicht unwahrscheinlichen Folge verbunden ist, die Chance auf die Stelle zu verlieren. Ganz anders verhält es sich in der Konstellation, dass keine gewichtigen Nachteile befürchtet werden müssen oder die Entscheidung für die Datenverarbeitung ohne übermäßigen Anreiz nur Vorteile verspricht, wie etwa bei der Registrierung für Personalkaufrabatte.

Nationale Regelungen in Deutschland

268

Entsprechend dynamisch hat der deutsche Gesetzgeber die Einwilligungsmöglichkeit im Beschäftigungskontext auf der Grundlage der Öffnungsklausel des Art. 88 DSGVO in § 26 Abs. 2 BDSG geregelt. Danach kann Freiwilligkeit insbesondere vorliegen, „wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen“.452 Als Beispiele für Vorteile werden in der Gesetzesbegründung die Teilnahme an einem betrieblichen Gesundheitsmanagement zur Gesundheitsförderung oder die Erlaubnis zur Privatnutzung von betrieblichen IT-Systemen und für gleichgerichtete Interessen die Aufnahme von Name und Geburtsdatum in eine Geburtstagsliste oder die Nutzung von Fotos für das Intranet, bei der Arbeitgeber und Beschäftigter im Sinne eines betrieblichen Miteinanders zusammenwirken, genannt.453

269

In diesem Sinne kann auch in einem von Marktmacht und Nachfrage geprägten Verhältnis zwischen Unternehmer und Verbraucher nicht an sich ein die Unfreiwilligkeit einer Einwilligung indizierendes klares Ungleichgewicht gesehen werden.454 Abzustellen ist vielmehr auf die Einzelfallfrage, ob der Verbraucher eine echte Wahl hat, zumal anderenfalls eine Einwilligung in dieser Beziehung generell als Rechtsgrundlage ausscheiden würde.455 Der Europäische Datenschutzausschuss scheint allerdings in freier Schöpfung, d.h. ohne Grundlage in Wortlaut, Systematik, Historie, Sinn und Zweck der einschlägigen Bestimmungen der DSGVO pauschal davon auszugehen, dass eine Einwilligung nicht freiwillig sei, wenn sie ein nicht verhandelbarer Teil von Geschäftsbedingungen ist.456 Dass diese Meinung nicht richtig sein kann, zeigen die Absätze 2 und 4 in Art. 7 DSGVO.

c) Erteilung für den bestimmten Fall

270

Das Erfordernis der Erteilung der Einwilligung für den bestimmten457 bzw. konkreten458 Fall bringt wie schon nach der Datenschutzrichtlinie 95/46/EG459 zum Ausdruck, dass eine pauschale Einwilligung ohne Angabe des Zwecks der Verarbeitung unzulässig ist. Eine Einwilligung kann grundsätzlich zwar für mehrere Verarbeitungsvorgänge und -zwecke gelten,460 sie muss aber genau umrissene Konstellationen aufzeigen und eingegrenzt werden auf das, was in Bezug auf den jeweiligen Zweck erforderlich und angemessen ist.461 Damit ist die Generaleinwilligung, welche von vornherein und unspezifisch alle vom Verantwortlichen verfolgten rechtmäßigen Zwecke abdecken soll, ebenfalls unwirksam.

d) Transparenzgebot

271

Die Einwilligung muss in informierter Weise, d.h. in Kenntnis der Sachlage abgegeben werden. Den um eine Einwilligung ersuchenden Verantwortlichen trifft sowohl mit Blick auf den Gehalt als auch auf die Qualität der zu erteilenden Informationen ein Transparenzgebot.

aa) Notwendige Inhalte der Information

272

Die betroffene Person sollte „mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen“.462 Wenn mehrere (gemeinsame) Verantwortliche von der Einwilligung begünstigt werden oder beabsichtigt ist, Daten an Dritte weiterzugeben, gehören diese Umstände ebenso zum Informationsprogramm wie genauere Angaben zum weiteren Begünstigten bzw. Datenempfänger (Name/Firma, Adresse) und zu dessen Verarbeitungszwecken.463 Aufgeklärt werden sollte ferner über die Art der zu verarbeitenden Daten, die Dauer und die Modalitäten der Verarbeitung, das Bestehen eines Widerrufsrechts, gegebenenfalls Informationen über die Verwendung der Daten für eine automatisierte Entscheidungsfindung gemäß Art. 22 Abs. 2c DSGVO, Angaben zu möglichen Risiken von Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien gemäß Art. 46 DSGVO sowie über mögliche Folgen der Verweigerung der Einwilligung.464

273

Diese Informationen müssen die betroffene Person in die Lage versetzen, die Konsequenzen einer von ihr erteilten Einwilligung leicht zu bestimmen.465 Hinsichtlich der einzelnen Datenarten erscheint eine nicht zu kleinteilige Beschreibung der zu verarbeitenden Daten als genügend, um das Informationsbedürfnis zu erfüllen und Verständnis bei der betroffenen Person zu wecken, anstatt mit detailverliebter Überinformation das Gegenteil zu erreichen.466 Eine zu allgemeine, nicht abschließende und rein beispielhafte Aufzählung von betroffenen Daten und Verarbeitungszwecken würde wiederum nicht ausreichen, so dass die Vorformulierung einer Einwilligungserklärung eine Gratwanderung darstellen kann, bei der die richtige Balance zwischen der adäquaten Informationstiefe auf der einen und der gebotenen Klarheit und Verständlichkeit auf der anderen Seite zu finden ist.

274

Fraglich ist, ob für eine wirksame Einwilligung in Kenntnis der Sachlage zusätzlich die Mitteilung aller weiteren Pflichtinformationen gemäß Art. 13 und Art. 14 DSGVO erforderlich ist. Dagegen spricht der Umstand, dass Erwägungsgrund 42 S. 4 zur DSGVO Mindestanforderungen an den Inhalt der Einwilligung formuliert.467 Der EuGH hingegen erachtet eine „Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten“ als geboten.468 In Einwilligungsformularen empfiehlt sich in Ergänzung zu den Mindestangaben daher wenigstens ein Verweis auf weitere Informationen in den Datenschutzhinweisen gemäß Art. 13 und Art. 14 DSGVO.

bb) Art und Weise der Informationserteilung

275

Hinsichtlich der Art und Weise der Informationserteilung ist darauf zu achten, keinen Jargon, sondern eine möglichst einfache und deutliche Sprache zu verwenden und die Information so zur Verfügung zu stellen, dass die betroffene Person vor der Einwilligungserteilung in zumutbarer Weise Kenntnis nehmen kann. Der Einwilligungsinhalt muss für den jeweiligen Durchschnittsadressaten und nicht nur für Rechtsanwälte leicht zu verstehen sein.469 Zu vermeiden sind:470

 – versteckte oder nach Art und Größe der Schrift sehr unauffällig gestaltete Einwilligungen,

 – komplexe Sprach- und Satzstrukturen,

 – lange Fließtextpassagen ohne auflockernde Einzüge und Aufzählungszeichen,

 – Verwendung der Passiv- anstatt der Aktivform,

 – übermäßige Substantivierung,

 – doppelte Verneinungen,

 – mehrdeutige, abstrakte oder fremdsprachliche Begrifflichkeiten.

276

Transparenz wird durch mehrschichtige Hinweise nicht behindert, sondern gefördert. Denn der Mehrebenenansatz überbrückt das Spannungsfeld zwischen Vollständigkeit und Verständnis und beugt dem Phänomen der Informationsermüdung vor, indem er den Betroffenen ermöglicht, zunächst einmal nur den Teil der Erklärung direkt wahrzunehmen, der wesentlich ist und dementsprechend wenigstens gelesen werden sollte.471 Zwar ist die Möglichkeit zur Kenntnisnahme ausreichend, da nicht schutzwürdig ist, wer sie aus mangelndem Interesse auslässt.472 Die Information muss nach den Gesamtumständen aber überschaubar bleiben und demjenigen, der grundsätzlich zu einer sachlichen Befassung mit Inhalt und Umfang der Einwilligungserklärung bereit ist, die Möglichkeit einer realistischen Prüfung eröffnen, ohne die Gefahr einer vorschnellen Einwilligung zu begründen.473 Letzteres kann insbesondere angenommen werden, wenn die Gestaltung der Einwilligungserklärung etwa durch extrem verschachtelte Darstellung oder künstliche Erstreckung über mehrere Seiten darauf angelegt ist, die betroffene Person zu verleiten, den hohen und außer Verhältnis stehenden Aufwand der Informationsbeschaffung zu meiden und uninformiert einzuwilligen. Vor die Wahl gestellt, bevorzugen Verbraucher kurze Einwilligungstexte mit weiteren Erläuterungen in Pop-Up-Fenstern oder Info-Layern gegenüber Einwilligungsvarianten, in denen der Erläuterungstext schon auf erster Ebene angezeigt wird.474

e) Einwilligungen als Gegenstand von AGB

277

Die vorformulierte Einwilligung unterliegt an sich der AGB-Inhaltskontrolle. Das galt nach der deutschen Rechtsprechung schon bisher jedenfalls immer dann, wenn sie im Zusammenhang mit einer Sonderverbindung wie einem Vertragsverhältnis oder einem Gewinnspiel eingeholt worden ist.475 Die DSGVO sieht nur in Erwägungsgrund 42 S. 3 vor, dass sich die vorformulierte Einwilligungserklärung gemäß der Richtlinie 93/13/EWG am Transparenzgebot messen lassen und keine missbräuchlichen Klauseln beinhalten sollte. Vor diesem Hintergrund richtet sich die AGB-rechtliche Überprüfung nach den jeweiligen nationalen Vorschriften.476 Die vorformulierte Einwilligung kann selbst auch Teil von allgemeinen Geschäftsbedingungen sein, die noch andere Sachverhalte betreffen, Art. 7 Abs. 2 DSGVO.

aa) Inhaltskontrolle

278

Gegenstand einer Inhaltskontrolle vorformulierter Einwilligungserklärungen ist zum einen die Frage, ob sie in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden,477 und zum zweiten, ob sie die betroffene Person nicht entgegen dem Gebot von Treu und Glauben unangemessen beachteiligen.478

Beispiel

Eine unangemessene Benachteiligung ist nach der deutschen Rechtsprechung des Bundesgerichtshofs (BGH) angenommen worden, wenn vorformulierte Einwilligungserklärungen nicht mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wurde, zu vereinbaren waren. Prüfungsmaßstab bildeten insoweit die gesetzlichen Regelungen der §§ 4, 4a und 28 BDSG a.F. sowie die bereichsspezifischen Bestimmungen in §§ 12ff. TMG, §§ 95ff. TKG und § 7 UWG.479 Es liegt daher nahe, dass eine Inhaltskontrolle in Fällen seit dem 25.5.2018 neben der Überprüfung auf hinreichende Transparenz und Bestimmtheit im Wesentlichen auf die Frage fokussiert sein wird, inwieweit AGB-Einwilligungstexte mit wesentlichen Grundgedanken der DSGVO bzw. den jeweiligen bereichsspezifischen Regelungen nicht mehr zu vereinbaren sind.480

279

Auf dem Gebiet der Transparenzkontrolle von besonderer praktischer Relevanz ist die auf der Richtlinie 93/13/EWG fußende und in Deutschland sog. Unklarheitenregel, wonach Zweifel bei der Klauselauslegung zulasten des Verwenders gehen.481 Auch aus diesem Grunde ist die Verwendung mehrdeutiger Begrifflichkeiten unbedingt zu vermeiden.

bb) Einwilligung zusammen mit anderen Erklärungen

280

Eine schriftliche Einwilligungserklärung kann zusammen mit Erklärungen abgefragt werden, die andere Sachverhalte betreffen.482 Damit ist etwa eine Integration in AGB für Vertragsschlüsse möglich. Das Ersuchen um die Einwilligung muss dafür gemäß Art. 7 Abs. 2 S. 1 DSGVO aber den Transparenzanforderungen (Verständlichkeit, leichte Zugänglichkeit, klare und einfache Sprache) entsprechen und klar von den anderen Sachverhalten zu unterscheiden sein.483 Dies könnte in der Praxis durch eine grafische Trennung oder wie nach altem deutschen Recht484 durch Hervorhebung (z.B. Fettdruck, Großbuchstaben, Umrahmung) umgesetzt werden.485 Da eine Einwilligung in die Datenverarbeitung aber zumindest in Deutschland als sog. überraschende Klausel eines Vertragswerks aufgefasst werden könnte, die nach den Umständen, insbesondere nach dem äußeren Erscheinungsbild des Vertrags so ungewöhnlich ist, dass der Vertragspartner des AGB-Verwenders nicht mit ihr zu rechnen braucht,486 ist zu empfehlen, bereits in die AGB-Überschrift einen deutlichen Hinweis aufzunehmen, dass eine Einwilligung in die Datenverarbeitung enthalten ist (z.B. „AGB inkl. Einwilligung in die Datenverarbeitung“).487

281

Soweit Art. 7 Abs. 2 S. 1 DSGVO eine „schriftliche“ Erklärung verlangt, ist übrigens keine Schriftform gemeint. Dieser Schluss lässt sich daraus ziehen, dass der Verordnungsgeber davon ausgeht, dass schriftliche Erklärungen „auch elektronisch erfolgen“ können.488

cc) Unverbindlichkeit/Blue-Pencil-Test

282

Hält die vorformulierte Einwilligungserklärung einer Inhaltskontrolle nicht stand, sind jedenfalls die betroffenen Teile der Erklärung nicht verbindlich.489 Es gilt das Verbot der geltungserhaltenden Reduktion, wonach der nationale Richter nicht befugt ist, missbräuchliche Klauseln inhaltlich abzuändern und auf das gerade noch zulässige Maß zurückzuführen.490

283

In Deutschland ist diese der Abschreckung dienende Rechtsfolge allerdings insoweit entschärft worden, als die höchstrichterliche Rechtsprechung im Grundsatz von der Teilbarkeit einer Klausel in einen inhaltlich zulässigen und einen inhaltlich unzulässigen Teil ausgeht. Finden sich nämlich in ein und derselben Klausel mehrere inhaltlich voneinander trennbare, einzeln aus sich heraus verständliche Regelungen, kann ein wirksamer Teil bestehen bleiben, soweit er auch dann noch sinnvoll und verständlich bleibt, wenn der unwirksame Teil gestrichen wird, sog. Blue-Pencil-Test.491

Praxishinweis

Auch wenn gegen die nationale Rechtsprechung zur inhaltlichen Teilbarkeit von AGB-Klauseln unionsrechtliche Bedenken geäußert werden,492 ist der Praxis zu empfehlen, die Chance der Rettung einer Einwilligungsklausel durch den blauen Stift nicht von vornherein ungenutzt zu lassen und bei der Gestaltung auf kurze, eigenständige und in sich schlüssige Abschnitte zu setzen anstatt auf alles verbindende Bandwurmsätze.

f) Widerruflichkeit

284

Eine einmal erteilte Einwilligung in die Datenverarbeitung muss jederzeit mit Wirkung für die Zukunft widerrufen werden können. Das ist nicht nur eine Voraussetzung für die Freiwilligkeit der Einwilligung.493 Es wird in Art. 7 Abs. 3 DSGVO auch ausdrücklich als Recht der betroffenen Person ausgewiesen, über das vor Abgabe der Einwilligung belehrt werden muss. In der Praxis ist es ratsam, vorsorglich gemäß der Normüberschrift von einer echten Bedingung und damit bei fehlender Belehrung von der Unwirksamkeit der Einwilligung auszugehen. Vorsorglich deshalb, weil eine systematische Gesetzesauslegung insoweit zu keinem eindeutigen Ergebnis führt. Denn jedenfalls die Nichteinhaltung der inhaltlich gleichen Informationspflicht in § 13 Abs. 2c DSGVO bzw. § 14 Abs. 2d DSGVO führt nicht zur Unwirksamkeit der Einwilligung, weil § 6 DSGVO für die Rechtmäßigkeit der Verarbeitung auf die §§ 13 und 14 DSGVO nicht Bezug nimmt.494 Allerdings dürfte Unternehmen das bei Verstoß in jedem Fall drohende Bußgeld von bis zu vier Prozent des weltweiten Jahresumsatzes495 Ansporn genug sein, die Belehrung über die Widerruflichkeit als unverzichtbaren Bestandteil in jede vorformulierte Einwilligungserklärung fest zu verankern.

285

Der zwingenden Widerruflichkeit von Einwilligungen könnte bei Vertragsverhältnissen, in denen Nutzungsrechte an personenbezogenen Daten die Gegenleistung etwa für den Zugang zu digitalen Inhalten496 darstellen, ein entsprechender schuldrechtlicher Anspruch auf Erteilung entgegen stehen.497 Fraglich ist, ob der Widerruf einer Einwilligung nach Treu und Glauben ausnahmsweise ausgeschlossen sein kann, wenn die Erteilung Hauptpflicht oder wesentlicher Inhalt eines Vertrages ist.498 Klärung wird die Rechtsprechung bringen. Diese Unwägbarkeit ist aus Praktikersicht aber ein weiterer Grund, Datenverarbeitungen in diesem Umfeld wenn möglich auf Art. 6 Abs. 1 S. 1b DSGVO und allenfalls zusätzlich auf eine Einwilligung zu stützen.

286

Soweit vorsorglich auch eine Einwilligung als Rechtsgrundlage für eine vertraglich erforderliche Verarbeitung bemüht wird, muss jedoch von vornherein darauf hingewiesen werden, dass der Widerruf dazu führt, dass die geschuldete Leistung nicht mehr erbracht werden kann. Sollte man den Ausschluss nach Treu und Glauben nicht zulassen, kann der Widerruf einer Einwilligung daher die Wirkung einer Vertragskündigung haben, wenn die von ihr gerechtfertigte Datenverarbeitung für die Vertragserfüllung unerlässlich ist. Anderenfalls wäre der Widerruf faktisch wirkungslos, weil die weitere Verarbeitung über Art. 6 Abs. 1 S. 1b DSGVO legitimiert werden kann. Auch um den Betroffenen in solch einer Konstellation nicht über die Beachtlichkeit seiner Einwilligung zu täuschen,499 sollte aber stets auf die gegebenenfalls ausbleibende Folge des Widerrufs hingewiesen werden:

Beispiel

„Sie können Ihre Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen, soweit die betroffene Datenverarbeitung für die Vertragserfüllung nicht erforderlich ist.“

287

Über das Zusammenspiel der Rechtsgrundlagen muss gemäß Art. 13 Abs. 1c bzw. Art. 14 Abs. 1c DSGVO informiert werden. Ein Rückgriff auf die Rechtsgrundlage des berechtigten Interesses gemäß Art. 6 Abs. 1f DSGVO kommt nach Widerruf einer Einwilligung allerdings nicht in Betracht.500 Eine Interessenabwägung wird nicht zu Gunsten des Verantwortlichen ausfallen, wenn die betroffene Person durch Ausübung ihres Widerrufsrecht zu erkennen gegeben hat, dass sie mit der Weiterverarbeitung ihrer personenbezogenen Daten gerade nicht einverstanden ist.501

288

Fehlt es hingegen an einer anderweitigen Rechtsgrundlage für die Verarbeitung, kann die betroffene Person vom Verantwortlichen aufgrund des Widerrufs der Einwilligung auch die unverzügliche Löschung der sie betreffenden personenbezogenen Daten verlangen, Art. 17 Abs. 1b DSGVO, soweit keine der Ausnahmen in Art. 17 Abs. 3 DSGVO vorliegen.

289

Zu beachten ist, dass Art. 13 Abs. 2c DSGVO bzw. Art. 14 Abs. 2d DSGVO nicht nur eine Belehrung über die Widerruflichkeit der Einwilligung, sondern auch über die Rechtsfolge vorschreiben, dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Zeitpunkt des Widerrufs erfolgten Verarbeitung unberührt bleibt.502 Insofern dürfte der Hinweis genügen, dass die Einwilligung „mit Wirkung für die Zukunft“ widerrufen werden kann.

290

Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein, Art. 7 Abs. 3 S. 4 DSGVO. Gegen diese Bestimmung würde etwa verstoßen, wer für den Widerruf einer elektronisch im Internet gegebenen Einwilligung die strenge Schriftform verlangte. Für den Widerruf muss genau das gleiche Medium/Mittel bereitgestellt werden, welches für die Einholung der Einwilligung zum Einsatz kam.503