DSGVO - BDSG - TTDSG

bb) Bestimmtheit der Einwilligung

325

Eine weitere Anforderung an eine wirksame Einwilligung besteht nach Art. 4 Nr. 11 DSGVO darin, dass sie „für den bestimmten Fall“ erteilt werden muss.

326

Durch die Bestimmtheit der Einwilligung soll sichergestellt werden, dass die betroffene Person ein gewisses Maß an Kontrolle über die Datenverarbeitung besitzt und diese für sie transparent erfolgt.618 Denn nur wenn die betroffene Person weiß, was konkret mit ihren Daten geschehen soll, kann sie (selbstbestimmt) darüber entscheiden, ob sie dieser Datenverarbeitung zustimmen möchte oder nicht.619 Außerdem lässt sich nur dann, wenn die Einwilligung bestimmt ist, objektiv (aus Sicht eines objektiven Empfängers) nachvollziehen und kontrollieren, ob eine bestimmte Verarbeitung von der Einwilligung gedeckt ist oder nicht.620 Mithin dient das Erfordernis der Bestimmtheit der Einwilligung auch dazu, der Datenverarbeitung des Verantwortlichen (auf Basis der Einwilligung) klare und objektiv nachvollziehbare Grenzen zu setzen.621

327

Die Bestimmtheit der Einwilligung ist eng mit dem Erfordernis der Informiertheit (siehe hierzu unten Rn. 335ff.) verbunden, mit dem sie sich teilweise auch überschneidet. So wird dann auch in der Rechtsprechung mitunter nicht strikt und stringent zwischen diesen beiden Anforderungen differenziert. Hinzu kommt, dass zwischen diesen beiden Anforderungen auch Wechselwirkungen dahingehend bestehen, dass sie einander – vor allem in der Praxis – teilweise bedingen. So setzt z.B. die Bestimmtheit der Einwilligung voraus, dass die betroffene Person entsprechend über die geplante Datenverarbeitung informiert wurde.

328

In Teilen folgt das Erfordernis der Bestimmtheit der Einwilligung auch aus dem Grundsatz der Zweckbindung gem. Art. 5 Abs. 1 lit. b DSGVO sowie aus Art. 6 Abs. 1 lit. a DSGVO („für einen oder mehrere bestimmte Zwecke“).

329

Für den bestimmten Fall ist eine Einwilligung abgegeben, wenn Inhalt, Zweck und Tragweite der Erklärung hinreichend konkretisiert sind.622 Insbesondere muss aus ihr hervorgehen, welche Daten für welche Zwecke von wem verarbeitet werden (vgl. auch Art. 6 Abs. 1 lit. a DSGVO).623 Ebenso sind die Art der Datenverarbeitung624 sowie ggf. etwaige Empfänger anzugeben.625 Somit sind also auch nach der DSGVO Pauschal- oder Blankoeinwilligungen grundsätzlich unwirksam. Zulässig ist es allerdings nach ErwG 32 Satz 4, wenn der Verantwortliche in der Einwilligung mehrere Zwecke für die Datenverarbeitung angibt, denen der Einwilligende zustimmen soll (siehe auch Art. 6 Abs. 1 lit. a DSGVO).626

330

Der Grad der Bestimmtheit, welchen eine Einwilligungserklärung aufweisen muss, richtet sich nach dem jeweiligen Einzelfall. Je stärker die Verarbeitung in die Grundrechte und -freiheiten der betroffenen Person eingreift, desto höher sind die Anforderungen an die Bestimmtheit.627 Allerdings muss gerade auch bei komplexen Datenverarbeitungen darauf geachtet werden, dass die (konkrete) Beschreibung der verarbeiteten Daten sowie der Zwecke, für die sie verarbeitet werden, und der Art der Datenverarbeitung auch noch verständlich ist, sodass gerade bei komplexen Datenverarbeitungen eine gewisse Unschärfe im Hinblick auf die Bestimmtheit der Einwilligung hinzunehmen ist, wenn die Einwilligenden die Beschreibung andernfalls nicht verstehen würden.628 Ggf. kann in diesem Zusammenhang auch ein Mehrebenenansatz sinnvoll sein (siehe hierzu ausführlich Rn. 345), der nicht nur dazu beitragen kann, dass die Einwilligung informiert erfolgt. Vielmehr kann ein solcher Ansatz ggf. auch die Bestimmtheit der Einwilligung fördern. Entscheidend ist, dass die betroffene Person die geplanten Datenverarbeitungen bei Abgabe der Einwilligung so deutlich vorhersehen kann, dass sie sich ein Bild von ihr und den mit ihr verbundenen Chancen und Risiken machen kann.629 Bei der Frage, ob geplante Datenverarbeitungen vorhersehbar sind, sollten sich Verantwortliche an einer verständigen Durchschnittsperson orientieren, die zum primären Adressatenkreis der Einwilligung zählt.630 So sollen z.B. personenbezogene Daten nicht für Zwecke verarbeitet werden dürfen, mit denen die betroffene Person aufgrund einer unbestimmten Zweckbeschreibung nicht gerechnet hat und objektiv auch nicht rechnen musste.631

331

Für die Bestimmtheit einer Einwilligung ist es nach Ansicht des BGH zudem erforderlich, dass sie so gestaltet ist, dass eine ggf. notwendige (granulare) Auswahl (z.B. von Empfängern von Daten, Verarbeitungszwecken etc.) durch die betroffene Person nicht mit einem Aufwand verbunden ist, der außer Verhältnis zum „Einsatzzweck“ der Einwilligung steht (z.B. der Teilnahme an einem Gewinnspiel).632 Dies gilt nach Auffassung des BGH zumindest in den Fällen, in denen ansonsten der Verantwortliche die Auswahl treffen würde.633 Keinen unverhältnismäßigen Aufwand per se stellt es nach hier vertretener Ansicht dar, dass Auswahlmöglichkeiten für die betroffene Person (erst) auf der zweiten Ebene einer Einwilligung angeboten werden, wenn die Einwilligung im Wege eines Mehrebenenansatzes gestaltet ist.634 Allerdings müssen sowohl die Gestaltung, dass sich die Auswahlmöglichkeiten auf der zweiten Ebene befinden als auch die Auswahlmöglichkeiten (auf der zweiten Ebene) an sich für die betroffene Person transparent sein.

332

An der Bestimmtheit der Einwilligung kann es nach Auffassung des EuGH zudem fehlen, wenn die Einwilligung nicht klar von anderen Vertragsklauseln zu unterscheiden ist und die betroffene Person diesen Vertragsklauseln zusammen mit der Einwilligung durch eine Handlung zustimmt.635

333

Zu den Anforderungen aus ErwG 43 Satz 2 und ErwG 32 Satz 4 und 5, z.B. zur Transparenz und zur Granularität der Einwilligung, siehe oben Rn. 309ff. Insbesondere im Hinblick auf die Granularität der Einwilligung lassen sich die Anforderungen, die aus dem Erfordernis der Freiwilligkeit und solche, die aus dem Erfordernis der Bestimmtheit der Einwilligung herrühren, kaum voneinander trennen, weshalb die Erläuterungen insoweit zusammen im Rahmen der Freiwilligkeit der Einwilligung erfolgen. Zum „Nudging“ bzw. zu „Dark Patterns“ siehe Rn. 318ff.

334

Dient die Einwilligung zur Legitimation der Verarbeitung von Daten zu Forschungszwecken, können gem. ErwG 33 ausnahmsweise aber auch Einwilligungen in der Form eines sogenannten „broad consent“ oder „tiered consent“ wirksam sein. Durch diese Ausnahme soll die wissenschaftliche Forschung privilegiert werden, da beim Beginn von wissenschaftlichen Forschungsprojekten die genauen Untersuchungen und Tätigkeiten während der gesamten Dauer dieses Projekts oftmals noch nicht abschließend angegeben werden können (ausführlich zur Bestimmtheit einer Einwilligungserklärung Art. 6 Rn. 45f., Art. 7 Rn. 135ff.).636

cc) Informiertheit der Einwilligung

335

Des Weiteren muss die Einwilligung gem. Art. 4 Nr. 11 DSGVO auch informiert erfolgen, damit sie wirksam sein kann. Diese Anforderung knüpft an den Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO an und steht in engem Verhältnis mit dem Erfordernis der Bestimmtheit der Einwilligung (siehe oben unter Rn. 325ff.), mit dem sie sich teilweise überschneidet. In informierter Weise wird eine Einwilligung erteilt, wenn der betroffenen Person vor Abgabe der Einwilligungserklärung sämtliche Informationen zur Verfügung gestellt wurden, die notwendig sind, dass sie die Umstände der Datenverarbeitung sowie ihre Auswirkungen und damit die Tragweite ihrer Einwilligung überblicken kann.637 Nur in diesem Fall kann sie eine selbstbestimmte Entscheidung darüber treffen, ob sie mit der Datenverarbeitung einverstanden ist oder nicht.638

336

Dabei „schuldet“ der Verantwortliche nach hier vertretener Ansicht nicht den Erfolg, dass die betroffene Person auch tatsächlich informiert ist, sondern nur die zumutbare Möglichkeit zur Kenntnisnahme der Informationen.639 Zwar könnte der EuGH in seiner Entscheidung Orange România/ANSPDCP dahingehend zu verstehen sein, dass die betroffene Person die ihr zur Verfügung gestellten Informationen auch gelesen und verstanden haben muss, damit die Einwilligung informiert erfolgen und sie wirksam erteilt werden kann.640 Darüber hinaus kann der EuGH in dieser Entscheidung auch so verstanden werden, dass der Verantwortliche sogar nachweisen können muss, dass die betroffene Person die Informationen tatsächlich gelesen und verstanden hat.641 Einem solchen Verständnis kann nach hier vertretener Ansicht jedoch nicht gefolgt werden und lässt sich wohl vor allem mit dem sehr speziellen Sachverhalt erklären, über den der EuGH zu entscheiden hatte. Dieser zeichnete sich insbesondere dadurch aus, dass Mitarbeiter des Verantwortlichen die betroffene Person nach mündlicher Unterrichtung über die Datenverarbeitung gefragt haben, ob sie einer bestimmten Datenverarbeitung zustimmen würde. Tat sie dies, haben die Mitarbeiter des Verantwortlichen das für die Zustimmung vorgesehene Ankreuzfeld, neben dem noch eine Klausel zur Datenverarbeitung enthalten war, im zwischen dem Verantwortlichen und der betroffenen Person abzuschließenden Vertrag angekreuzt. Anschließend hat die betroffene Person dann den gesamten Vertrag mitsamt des angekreuzten Feldes unterzeichnet – teilweise fehlte dieses Kreuz wohl auch.642

337

Jedenfalls kann dieses Verständnis nach hier vertretener Ansicht grundsätzlich nicht einfach auf andere Fallkonstellationen übertragen werden. So ist eine betroffene Person nicht schutzwürdig, wenn sie die Informationen trotz zumutbarer Möglichkeit der Kenntnisnahme nicht liest.643 Zudem wäre ein Nachweis darüber, dass eine betroffene Person die Informationen tatsächlich gelesen und verstanden hat, in der Praxis – wenn überhaupt – jedenfalls kaum zu führen.644 Dies hätte zur Folge, dass Verantwortliche Einwilligungen in der Praxis nicht mehr rechtssicher einsetzen könnten, weil sie den entsprechenden Nachweis für deren Erteilung nicht erbringen könnten. Dies kann jedoch weder vom EuGH gewollt sein noch der DSGVO entsprechen.

338

Mithin muss der Verantwortliche nach hier vertretener Ansicht also grundsätzlich nicht nachweisen, dass eine betroffene Person die Informationen tatsächlich gelesen und verstanden hat. Der Verantwortliche bleibt allerdings nach Art. 7 Abs. 1 DSGVO verpflichtet, nachweisen zu können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.645 In diesem Zusammenhang ist durch die Gestaltung der Einwilligung sicherzustellen, dass der betroffenen Person eine zumutbare Möglichkeit zur Kenntnisnahme der Informationen eröffnet wird646 – hierfür ist der Verantwortliche dann auch gem. Art. 7 Abs. 1 DSGVO nachweispflichtig.

339

Nach ErwG 42 Satz 4 muss der Verantwortliche die betroffene Person mindestens darüber informieren, wer der Verantwortliche (Name bzw. Firma und Adresse) ist – bzw. im Fall der gemeinsamen Verantwortlichkeit i.S.d. Art. 26 DSGVO, wer die Verantwortlichen sind647 – und für welche Zwecke ihre Daten verarbeitet werden. Darüber hinaus sind im Einzelfall aber noch weitere Angaben erforderlich. So ist die betroffene Person im Fall einer Datenübermittlung darüber mitsamt der Angabe der Datenempfänger (Name bzw. Firma und Adresse) zu informieren.648 Auftragsverarbeiter müssen nach Auffassung des Europäischen Datenschutzausschusses aber nicht genannt werden.649 Des Weiteren ist über die zu verarbeitenden Daten zu informieren, wobei nach hier vertretener Ansicht die Angabe der Datenarten ausreichend ist.650 Außerdem ist die betroffene Person gem. Art. 7 Abs. 3 Satz 3 DSGVO über ihr Widerrufsrecht zu informieren. Soweit die Einwilligung auch den Datentransfer in ein Drittland gem. Art. 49 Abs. 1 Satz 1 lit. a DSGVO rechtfertigen soll, ist die betroffene Person zudem über die damit verbunden Gefahren und Risiken aufzuklären.651 Je nach Verarbeitungssituation können aber noch weitere Angaben erforderlich sein, so z.B. bei automatisierten Entscheidungen im Einzelfall gem. Art. 22 Abs. 2 lit. c DSGVO. Soweit möglich, sollte auch über die Dauer und die Modalitäten der Datenverarbeitung informiert werden.652 Beim Einsatz von Cookies ist nach Auffassung des EuGH (u.a.) über die Funktionsdauer der Cookies zu informieren.653 Darüber hinaus sollte die betroffene Person über die Folgen der Verweigerung der Einwilligung informiert werden.654 Dabei ist insbesondere sicherzustellen, dass – wenn die Einwilligung im Zusammenhang mit einem Vertrag erteilt werden soll – die betroffene Person bzgl. der (bestehenden oder nicht bestehenden) Möglichkeit, den Vertrag auch dann abzuschließen, wenn sie die Einwilligung verweigert, klar informiert und nicht, z.B. durch Vertragsbestimmungen, in die Irre geführt wird.655 Siehe ausführlich zu den beim Einsatz von Cookies für eine wirksame Einwilligung zu erteilenden Informationen § 25 TTDSG Rn. 34ff.

340

Nach hier vertretener Ansicht wäre es aber zu weitgehend, zwingend in jedem Einzelfall zu verlangen, dass die betroffenen Personen auch über sämtliche weiteren in Art. 13 bzw. Art. 14 DSGVO genannten Punkte informiert werden müssen, damit die anschließende Einwilligung informiert i.S.d. Art. 4 Nr. 11 DSGVO erfolgt.656 Die Informationspflichten aus Art. 13 bzw. Art. 14 DSGVO sind nicht mit den Anforderungen an eine informierte Einwilligung nach Art. 4 Nr. 11 DSGVO gleichzusetzen. Dies folgt bereits aus der Systematik der DSGVO. So unterscheidet der Verordnungsgeber zwischen der Informiertheit der Einwilligung i.S.d. Art. 4 Nr. 11 DSGVO einerseits und den Informationspflichten nach Art. 13 und 14 DSGVO andererseits und verweist in diesem Zusammenhang auch nicht etwa auf die jeweils andere Vorschrift. Besonders deutlich geht dies aus ErwG 42 Satz 4 hervor, der im Hinblick auf die Mindestinhalte der im Rahmen einer Einwilligung zur Verfügung zu stellenden Information eben gerade nicht auf Art. 13 und Art. 14 DSGVO verweist oder deren Inhalte wiederholt, sondern nur die oben unter Rn. 339 aufgeführten Punkte nennt.657

341

Entscheidend ist, dass der betroffenen Person alle Informationen zur Verfügung gestellt werden, die erforderlich sind, um die betroffene Person in die Lage zu versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen.658 Sie muss dabei über sämtliche Umstände informiert werden, die aus objektiver Sicht erforderlich sind, damit sie willentlich darüber entscheiden kann, ob sie der geplanten Datenverarbeitung zustimmt oder nicht.659 Hierbei verbietet sich eine schematische, generalisierende Betrachtungsweise. Vielmehr ist auf den jeweiligen Einzelfall abzustellen. Daher können die zu erteilenden Informationen im Einzelfall mit den nach Art. 13 bzw. Art. 14 DSGVO zu erteilenden Informationen übereinstimmen, müssen dies aber nicht. Jedenfalls ist es nicht erforderlich, um den Informiertheitsanforderungen des Art. 4 Nr. 11 DSGVO zu genügen, die betroffene Person über in Art. 13 bzw. Art. 14 DSGVO enthaltene Punkte zu informieren, wenn sie für den vorliegenden Fall nicht relevant sind. So sind z.B. regelmäßig keine Informationen über einen in Art. 13 bzw. Art. 14 DSGVO genannten Punkt erforderlich, wenn sich diese in reinen Negativinformationen erschöpfen würden, beispielweise dass kein internationaler Datentransfer erfolgt – es sei denn, dass eine solche Information ausnahmsweise für das Gesamtverständnis im Hinblick auf die Datenverarbeitung erforderlich ist.660 Ebenso ist z.B. keine Information nach Art. 13 Abs. 1 lit. d DSGVO bzw. Art. 14 Abs. 2 lit. b DSGVO erforderlich. Nach diesen Vorschriften ist die betroffene Person über die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden, zu informieren, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht. Dies ist jedoch hier nicht der Fall, da die Verarbeitung auf Basis einer Einwilligung erfolgt.

341a

Der EuGH scheint in seiner Entscheidung in Sachen Orange România/ANSPDCP insoweit allerdings eine engere Verbindung zwischen dem Tatbestandsmerkmal „in informierter Weise“ gem. Art. 4 Nr. 11 DSGVO und Art. 13 DSGVO anzunehmen, als sie hier vertreten wird. So scheint er Art. 4 Nr. 11 DSGVO im Lichte von Art. 13 DSGVO auszulegen, wenn er ausführt, dass das Erfordernis gem. Art. 4 Nr. 11 DSGVO, dass eine Einwilligung „in informierter Weise“ erfolgen muss, nach Art. 13 DSGVO i.V.m. Erwägungsgrund 42 bedeute, dass der Verantwortliche die betroffene Person über alle Umstände im Zusammenhang mit der Verarbeitung der Daten informieren müsse, insbesondere über die Art der zu verarbeitenden Daten, die Identität des Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden.661 Allerdings setzt der EuGH in seinen Ausführungen Art. 4 Nr. 11 DSGVO auch nicht mit Art. 13 DSGVO gleich, da er eben insoweit nicht einfach verlangt, dass die betroffene Person über die in dieser Vorschrift aufgeführten Punkte zu informieren sei. Mithin kann aus dieser Entscheidung des EuGH nach hier vertretener Auffassung nicht entnommen werden, dass dieser zwingend in jedem Fall verlangen würde, dass die betroffene Person über die in Art. 13 bzw. Art. 14 DSGVO aufgeführten Punkte informiert werden muss, damit die Einwilligung i.S.d. Art. 4 Nr. 11 DSGVO informiert erfolgt.662

342

Ganz generell empfiehlt es sich aber aus Gründen der Rechtssicherheit, sich bei der Information des Einwilligenden an Art. 13 bzw. Art. 14 DSGVO zu orientieren (siehe Art. 6 Rn. 38). Gerade bei komplexen Datenverarbeitungen kann es zudem sinnvoll sein – wie unter Rn. 345 erläutert wird –, die für die Erteilung der Einwilligung erforderlichen Informationen im Wege eines Mehrebenenansatzes zur Verfügung zu stellen und dabei in der Einwilligung auf die Datenschutzerklärung als eine nachgelagerte Informationsebene zu verlinken, zumal die Informationspflichten nach Art. 13f. DSGVO ohnehin erfüllt werden müssen, auf diese Weise Synergien genutzt werden können und so zugleich auch sichergestellt wird, dass die Informationen nach Art. 13f. DSGVO rechtzeitig erteilt werden.663 Allerdings sind die Informationspflichten aus Art. 4 Nr. 11 DSGVO und Art. 13 bzw. Art. 14 DSGVO – wie soeben erläutert – nach hier vertretener Ansicht nicht deckungsgleich, sodass ein Verstoß gegen die in Art. 13 bzw. Art. 14 DSGVO enthaltenen Informationspflichten, die über die Informationspflichten nach Art. 4 Nr. 11 DSGVO hinausgehen, nicht zur Unwirksamkeit der Einwilligung führt (ausführlich zur Informiertheit der Einwilligung Art. 6 Rn. 37ff.; siehe zu den Besonderheiten im Beschäftigungsverhältnis auch § 26 Abs. 2 BDSG).664 Zu den Anforderungen aus ErwG 43 S. 2 und ErwG 32 S. 4 und 5, insbesondere zur Transparenz und zur Granularität, siehe oben Rn. 309ff.

343

Fehlvorstellungen, denen die betroffene Person trotz hinreichender Information i.S.d. Art. 4 Nr. 11 DSGVO unterliegt, gehen zu ihren Lasten, da der Verantwortliche nach hier vertretener Ansicht nur die hinreichende Information, nicht aber einen Erfolg dergestalt schuldet, dass die betroffene Person die geplante Datenverarbeitung auch richtig erfasst hat.665 Die Einwilligung ist also auch in einem solchen Fall wirksam (sofern die übrigen Voraussetzungen vorliegen), kann aber ggf. gem. Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft widerrufen werden.

344

Im Hinblick auf die Art und Weise der Information hat der Verantwortliche die Information so zu verfassen, dass der primäre Adressatenkreis, an den die Einwilligung gerichtet ist, diese versteht – und zwar unter Berücksichtigung von dessen (inhaltlichen) Vorkenntnissen, dessen Verständnisniveau sowie von dessen Sprachkenntnissen.666 Der Umfang der Einwilligung muss so gestaltet werden, dass der Einwilligende diesen auch in der Lebenswirklichkeit zur Kenntnis nehmen kann – die Information also nicht so lang/umfangreich ist, dass sie nicht mehr gelesen wird –,667 sodass gerade bei komplexen Datenverarbeitungen vor diesem Hintergrund insoweit eine gewisse Unschärfe bei der Information erforderlich sein kann.

345

Gegebenenfalls kann es ein probates Mittel sein, die Informationen durch mehrschichtige Hinweise („multilayered notice“) zu vermitteln, bei denen die betroffene Person auf der ersten Ebene über alle wesentlichen Umstände informiert wird, sodass sie sich hierdurch schon ein Bild von der Datenverarbeitung machen kann und sie nach dem Klicken auf mit einem Link hinterlegte Begriffe auf eine zweite Ebene geleitet wird, wo sich detaillierte Informationen zu den Einzelheiten des jeweiligen Begriffs bzw. des jeweiligen Abschnitts befinden.668 Soweit es zur besseren Verständlich- und Übersichtlichkeit erforderlich bzw. sinnvoll ist, kann auch noch eine dritte Ebene vorgesehen werden.669 Allerdings darf die Verwendung mehrerer Ebenen auch nicht dazu führen, dass die Kenntnisnahme der Informationen für die betroffene Person mit einem unverhältnismäßigen Aufwand verbunden wäre.670 Medienbrüche sind hierbei grundsätzlich zu vermeiden, können aber ggf. zulässig sein, wenn sie sich aufgrund der Eigenart des jeweiligen Mediums nicht vermeiden lassen.671 Gegebenenfalls kann die Information der betroffenen Person auch zusätzlich mit Hilfe von Bildsymbolen erfolgen.672 In jedem Fall ist bei der Information der betroffenen Person aber sicherzustellen, dass die Informationen für sie leicht zugänglich sind und sie diese in zumutbarer Weise zur Kenntnis nehmen kann (vgl. zur Art und Weise der Information auch Art. 7 Rn. 66ff.).

346

Keine ausdrücklichen Vorgaben enthält die DSGVO im Hinblick auf die Form der Information, sodass diese z.B. schriftlich, in Textform, elektronisch oder mündlich ergehen kann. Allerdings ist darauf zu achten, dass der Verantwortliche nach Art. 7 Abs. 1 DSGVO verpflichtet ist, die Einwilligung und damit auch die Information der betroffenen Person nachzuweisen (siehe zu den Anforderungen an den Nachweis einer Einwilligung Art. 7 Rn. 46ff.).

347

Erfolgt die Einwilligung/Information im Rahmen von AGB, enthält Art. 7 Abs. 2 DSGVO noch weitere Voraussetzungen (siehe hierzu ausführlich Art. 7 Rn. 53ff.).