DSGVO - BDSG - TTDSG

Art. 7 Bedingung für die Einwilligung

(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.

(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.

(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.

Mit der Norm korrespondieren die Erwägungsgründe 32, 33, 42, 43, 155.

Literatur: Albers, Informationelle Selbstbestimmung, Baden-Baden 2005; Albrecht, Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Aßmus/Winzer, Mitarbeiterfotos im Internet, auf Webseiten und in sozialen Netzwerken, ZD 2018, 508; Backu, Datenschutzrechtliche Relevanz bei Onlinespielen, ZD 2012, 59; Bausewein, Legitimationswirkung von Einwilligung und Betriebsvereinbarung im Beschäftigtendatenschutz, Edewecht 2011; Beisenherz/Tinnefeld, Aspekte der Einwilligung, DuD 2011, 110; Bizer, Sieben Goldene Regeln des Datenschutzes, DuD 2007, 350; Buchner, Informationelle Selbstbestimmung im Privatrecht, Tübingen 2006; Buchner, Die Einwilligung im Datenschutzrecht, DuD 2010, 39; Buchner, Betriebliche Datenverarbeitung zwischen Datenschutz und Informationsfreiheit, in: Bauer/Kort/Möllers/Sandmann (Hrsg.), Festschrift für Herbert Buchner, München 2009, S. 153; Buchner/Kühling, Die Einwilligung in der Datenschutzordnung 2018, DuD 2017, 544; Buck-Heeb, Aufzeichnungspflichten bei Wertpapiergeschäften nach § 83 WpHG, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 111; Bunnenberg, Privates Datenschutzrecht – Über Privatautonomie im Datenschutzrecht – unter besonderer Berücksichtigung der Einwilligung und ihrer vertraglichen Kopplung nach Art. 7 Abs. 4 DS-GVO, Baden-Baden 2020; Cherkeh/Hampe, Datenschutzrechtliche Aspekte der Digitalisierung im Sport, in: Wadsack/Wach (Hrsg.), Digitale Disruption und Sportmanagement, Berlin et al. 2019, S. 111; Cherkeh/Heyn, Veröffentlichung von Doping-Schiedssprüchen mittels der Datenbank NADAjus – aus insbesondere datenschutzrechtlicher Sicht, SpuRt 2020, 290; Cherkeh/Vieweg, CAS-Appeal-Verfahren: Kostentragung und das Gebot effektiven Rechtsschutzes, SpuRt 2021, 250; Dammann, Erfolge und Defizite der EU-Datenschutzgrundverordnung, ZD 2016, 307; Drewes, Dialogmarketing nach der DSGVO ohne Einwilligung der Betroffenen, CR 2016, 721; Engeler, Das überschätzte Kopplungsverbot, ZD 2018, 55; Engeler/Marosi, Planet49: Neues vom EuGH zu Cookies, Tracking und ePrivacy – Starke Einwilligung, schwacher Datenschutz?, CR 2019, 707; Erman, BGB, Kommentar, 15. Aufl., Köln 2017; Ernst, Die Einwilligung nach der Datenschutzgrundverordnung, ZD 2017, 110; Ernst, Unzulässige Erhebung von Daten Minderjähriger bei Gewinnspielen, jurisPR-WettbR 12/2012, Anm. 4; Forst, Der Regierungsentwurf zur Regelung des Beschäftigtendatenschutzes, NZA 2010, 1043; Franzen/Gallner/Oetker (Hrsg.), Kommentar zum europäischen Arbeitsrecht, 3. Aufl., München 2020; Franzen, Arbeitnehmerdatenschutz – rechtspolitische Perspektiven, RdA 2010, 257; Fritzweiler/Pfister/Summerer (Hrsg.), Praxishandbuch Sportrecht, 4. Aufl., München 2020; Funke, Dogmatik und Voraussetzungen der datenschutzrechtlichen Einwilligung im Zivilrecht, Baden-Baden 2017; Geiger, Die Einwilligung in die Verarbeitung von persönlichen Daten als Ausübung des Rechts auf informationelle Selbstbestimmung, NVwZ 1989, 35; Gierschmann, Was „bringt“ deutschen Unternehmen die DS-GVO?, ZD 2016, 51; Golland, Das Kopplungsverbot in der Datenschutz-Grundverordnung, MMR 2018, 130; Grentzenberg/Schreibauer/Schuppert, Die Datenschutznovelle (Teil II), K&R 2009, 535; Griesinger/Oberlin, Die Einwilligungserklärung nach der neuen Datenschutzgrundverordnung (DS-GVO), CB 2017, 481; Grimm, Der Datenschutz vor einer Neuorientierung, JZ 2013, 585; Grönemeyer, Die Einwilligung im Beschäftigtendatenschutz, Edewecht 2012; Grönemeyer, Datenschutzrechtliche Probleme bei der Nutzung des „Web 2.0“ im Intranet eines Unternehmens, 2016; Hacker, Datenprivatrecht, 2020; Hanloser, Opt-out durch Streichen der Einwilligungsklausel, MMR 2010, 140; Henssler/Willemsen/Kalb, Arbeitsrecht Kommentar, 8. Aufl., Köln 2018; Heermann/Schlingloff (Hrsg.), Münchener Kommentar zum Lauterkeitsrecht, 3. Aufl., München 2020; Hilber, Die datenschutzrechtliche Zulässigkeit intranet-basierter Datenbanken internationaler Konzerne, RDV 2005, 143; Hoffmann, Notwendige Praxisumstellungen bei Einwilligung in datenverarbeitende Vorgänge, JAmt 2018, 2; Hoffmann, Einwilligung der betroffenen Person als Legitimationsgrundlage eines datenverarbeitenden Vorgangs im Sozialrecht nach dem Inkrafttreten der DSGVO, NZS 2017, 807; Hold, Arbeitnehmer-Datenschutz – Ein Überblick, RDV 2006, 249; Kamp/Rost, Kritik an der Einwilligung, DuD 2013, 80; Kartheuser/Klar, Wirksamkeitskontrolle von Einwilligungen auf Websites, ZD 2014, 500; Katko/Babaei-Beigi, Accountability statt Einwilligung? Führt Big Data zum Paradigmenwechsel im Datenschutz?, MMR 2014, 360; Kazemi, Forderungsmanagement im Medizinbereich, zfm 2016, 179; Köhler/Fetzer, Recht des Internet, 8. Aufl., Heidelberg 2016; Köhler/Bornkamm/Feddersen (Hrsg.), Gesetz gegen den unlauteren Wettbewerb, 38. Aufl., München 2020; Kollmar/Al-Auwad, Grenzen der Einwilligung bei hochkomplexen, in: Taeger (Hrsg.), Den Wandel begleiten – IT-rechtliche Herausforderungen der Digitalisierung und technisierten Datenverarbeitungen, Edewecht 2020, S. 199; Korff, Meldepflichten des WADA-Codes und Persönlichkeitsrechte, SpuRt 2009, 94; Kornbeck, Anti-Doping: Übermittlung von Athletendaten in Drittländer, CaS 2016, 118; Krohm, Abschied vom Schriftformgebot der Einwilligung, ZD 2016, 368; Krohm/Müller-Peltzer, Auswirkungen des Kopplungsverbots auf die Praxistauglichkeit der Einwilligung, ZD 2017, 551; Kühling/Martini, Die Datenschutz-Grundverordnung: Revolution oder Evolution im europäischen und deutschen Datenschutzrecht?, EuZW 2016, 448; Laoutoumai/Schuh, Zu den Transparenzanforderungen bei der Einholung von Werbeeinwilligungen für verschiedene Unternehmen und Produkte, K&R 2017, 408; Lehmann/Wancke, Abtretung von Darlehensforderungen und Datenschutz – Neues zu einer problematischen Beziehung – Teil 1, WM 2019, 613; Liedke, Die Einwilligung im Datenschutzrecht, Edewecht 2012; Lindner, Die datenschutzrechtliche Einwilligung nach §§ 4 Abs. 1, 4a BDSG – ein zukunftsfähiges Institut?, Hamburg 2013; Maschmann, Compliance versus Datenschutz, NZA Beilage 2012, Nr. 2, 50; Mesch, Geltungsdauer einer Einwilligung in den Empfang von Werbung per Mail, ITRB 2021, 222; S. Meyer, Mitarbeiterüberwachung: Kontrolle durch Ortung von Arbeitnehmern, K&R 2009, 14; Möller, Zum Versand unerbetener Werbe-E-Mails, NJW 2017, 2122; Müller, Die Zulässigkeit der Videoüberwachung am Arbeitsplatz, Baden-Baden 2007; Neuendorf, Datenschutzrechtliche Konflikte im Anti-Doping-System, Baden-Baden 2015; Ohly, „Volenti non fit iniuria“ – Die Einwilligung im Privatrecht, Tübingen 2002; Otto/Rüdlin, Standardisierung von Patienteneinwilligungen im Krankenhaus, ZD 2017, 519; Otto/Rüdlin/Koch, Weitergabe von Explorationsdaten aus der Drogenberatung an Leistungsträger, DuD 2002, 484; Peifer, Persönlichkeitsschutz und Internet – Anforderungen und Grenzen einer Regulierung, JZ 2012, 851; Petri, Datenschutzrechtliche Einwilligung im Massengeschäftsverkehr, RDV 2007, 153; Piltz/Zwerschke, Die rückwirkende Heilung rechtswidriger Datenverarbeitungen, DSB 2020, 148; Pollmann/Kipker, Informierte Einwilligung in der Online-Welt, DuD 2016, 378; Pigeot/Buchner, Epidemiologie und Datenschutz, DuD 2014, 816; Radlanski, Das Konzept der Einwilligung in der datenschutzrechtlichen Realität, Tübingen 2016; Redeker, Handbuch der IT-Verträge, 33. Lfg., Köln 2017; Riesenhuber, Die Einwilligung des Arbeitnehmers im Datenschutzrecht, RdA 2011, 257; Rogosch, Die Einwilligung im Datenschutzrecht, Baden-Baden 2013; Rolfs, Die zeitliche Wirkungsdauer der datenschutzrechtlichen Einwilligung – das „absolute“ und das „relative“ Verfallsdatum, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 373; Roßnagel (Hrsg.), Handbuch Datenschutzrecht, München 2003; K. Schaar, Anpassung von Einwilligungserklärungen für wissenschaftliche Forschungsprojekte, ZD 2017, 213; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Schapper/Dauer, Die Entwicklung der Datenschutzaufsicht im nicht-öffentlichen Bereich, RDV 1987, 170; Schirmbacher, Onlinemarketing nach der DSGVO – ein Annäherungsversuch, ITRB 2016, 274; Schlarmann, Datenschutz beim Kampf gegen Doping, ZD 2016, 572; Schmidl, Die Subsidiarität der Einwilligung im Arbeitsverhältnis, DuD 2007, 756; Schmoll, Die Einwilligung im Datenschutz- und Wettbewerbsrecht, in: Taeger/Wiebe, Aktuelle Entwicklungen im Informationstechnologierecht, Edewecht 2007, S. 144; Schnebbe, Der Minderjährige im Datenschutzrecht (im Erscheinen); Schnebbe/Trinks, Due Diligence – Datenschutzrechtlicher Praxisleitfaden, 2021; Schneider, Geltungsdauer einer Einwilligung in die Werbeansprache, in: Taeger (Hrsg.), Rechtsfragen digitaler Transformationen – Gestaltung digitaler Veränderungsprozesse durch Recht, Edewecht 2018, S. 219; Schürmann, Das Kopplungsverbot nach DSGVO, DSB 2018, 159; M. Schwenke, Individualisierung und Datenschutz, Wiesbaden 2006; Schuster, Die Internetnutzung als Kündigungsgrund, Hamburg 2009; Selk, EU-DS-GVO: Neue Anforderungen an die Einwilligung?, DANA 2016, 59; Simitis, Zur Internationalisierung des Arbeitnehmerdatenschutzes: die Verhaltensregeln der internationalen Arbeitsorganisation, in: Hanau/Heither/Kühling (Hrsg.), Festschrift für Dieterich zum 65. Geburtstag, München 1999, S. 601; Spindler, Persönlichkeitsschutz im Internet – Anforderungen und Grenzen einer Regulierung Gutachten zum 69. DJT, München 2012; Taeger, Datenschutzrecht, Frankfurt/M. 2014; Taeger, Einwilligung im Arbeitsverhältnis in die Veröffentlichung eines Werbevideos und ihre Widerrufbarkeit – KunstUrhG als lex specialis gegenüber dem BDSG, jurisPR-DSR 1/2015, Anm. 4; Taeger/Kremer, Recht im eCommerce und Internet, Frankfurt/M. 2017; Taeger/Rose, Zum Stand des deutschen und europäischen Beschäftigtendatenschutzes, BB 2016, 819; Taeger/Schweda, Die gemeinsam mit anderen Erklärungen erteilte Einwilligung, ZD 2020, 124; Thüsing, Verbesserungsbedarf beim Beschäftigtendatenschutz, NZA 2011, 16; Thüsing, Licht und Schatten im Entwurf eines neuen Beschäftigtendatenschutzgesetzes, RDV 2010, 147; Thüsing/Lambrich, Das Fragerecht des Arbeitgebers – aktuelle Probleme zu einem klassischen Thema, BB 2002, 1146; Thüsing/Schmidt/Forst, Das Schriftformerfordernis der Einwilligung nach § 4a BDSG im Pendelblick zu Art. 7 DS-GVO, RDV 2017, 116; Trittin/Fischer, Datenschutz und Mitbestimmung, NZA 2009, 343; Vander, Weitere Hürden für die E-Mail-Werbung, DB 2017, 1251; Veil, Einwilligung oder berechtigtes Interesse? – Datenverarbeitung zwischen Skylla und Charybdis, NJW 2018, 3337; Weber, Der Arbeitnehmerdatenschutz nach dem Referentenentwurf eines Gesetzes zur Regelung des Beschäftigtendatenschutzes, in: Taeger, Digitale Evolution – Herausforderungen für das Informations- und Medienrecht, Edewecht 2019, S. 39; Wiebe, Datenschutz, Big Data und KI im Gesundheitswesen, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 531; Wybitul/Goroll, Keine Einwilligung in Compliance-Maßnahmen nach § 321 des Gesetzentwurfs vom 25.8.2010 zur Regelung des Beschäftigtendatenschutzes, in: Stober (Hrsg.), Sicherheitsgewerbe und Human Resources, Köln 2012, S. 23; von Zimmermann, Die Einwilligung im Internet, Berlin 2014; Zoebisch, Stimmungsanalyse durch Call-Center, DuD 2011, 394; Zscherpe, Anforderungen an die datenschutzrechtliche Einwilligung im Internet, MMR 2004, 723.

Übersicht

I. Allgemeines
1. Bedeutung der Norm

1

Die Einwilligung in die Verarbeitung personenbezogener Daten stellt keinen Grundrechtsverzicht, sondern eine Grundrechtsausübung dar (Art. 8 Abs. 2 GRCh, Schutz personenbezogener Daten; Art. 21 Abs. 1 i.V.m. Art. 1 Abs. 1 GG, Recht auf informationelle Selbstbestimmung).1 Auch das 1983 in Deutschland mit dem Volkszählungsurteil des BVerfG2 aus dem Allgemeinen Persönlichkeitsrecht entwickelte „Recht auf informationelle Selbstbestimmung“ ist nicht nur Abwehrrecht gegen hoheitliche Eingriffe in die Grundrechte, sondern es beinhaltet auch eine objektive Schutzpflicht des Staates, „Bedrohungen grundrechtlich gesicherter Freiheiten von privater Seite“ entgegenzutreten.3 Mit der in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO vorgesehenen Einwilligung, eine Erlaubnis in die Verarbeitung der personenbezogenen Daten zu schaffen, wird dieses Selbstbestimmungsrecht einfachgesetzlich zum Ausdruck gebracht. Art. 8 GRCh gewährleistet mit Absatz 1, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Schon die Grundrechtecharta bestimmt in Art. 8 Abs. 2 GRCh, dass diese Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Die (widerrufliche) Einwilligung ist das klassische, verfassungsrechtlich legitimierte Instrument zur Gestattung von Eingriffen in persönliche Interessen und Güter (siehe Rn. 17 und Art. 6 Rn. 24).4

2

Für das Datenschutzrecht hat die Einwilligung eine überragende Bedeutung. Bereits ErwG 30 der DSRl erwähnte die Einwilligung vor allen anderen Erlaubnistatbeständen: „Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn sie auf der Einwilligung der betroffenen Person beruht ...“. Auch die DSGVO nennt in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO die Einwilligung weiterhin als ersten Erlaubnistatbestand. Das Informationelle Selbstbestimmungsrecht räumt jeder betroffenen Person das Recht ein, selbst zu bestimmen, wer ihre personenbezogenen Daten zu welchem Zweck verarbeiten darf. Selbst solche Verarbeitungen, die für die Persönlichkeitsrechte als besonders riskant angesehen werden, wie die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 2 lit. a DSGVO), sind bei ausdrücklich erteilter Einwilligung zulässig. Auch die Datenübermittlung in ein Drittland ohne angemessenes Datenschutzniveau ist mit einer ausdrücklichen Einwilligung der betroffenen Person zulässig (Art. 49 Abs. 1 lit. a DSGVO). Eingewilligt werden kann auch in die Verarbeitung personenbezogener Daten für Zwecke des personalisierten Direktmarketings und der Werbeansprache über E-Mail und Telefon.5

3

Voraussetzung der wirksamen Einwilligung ist, dass die in Art. 7 Abs. 1–4 DSGVO in Verbindung mit Art. 4 Nr. 11 und Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO aufgeführten Anforderungen und Bedingungen (Grundsätze) beachtet werden. Die Nichtbeachtung einer Anforderung führt zur Rechtswidrigkeit der Verarbeitung.6

2. Entstehungsgeschichte

4

Art. 7 lit. a DSRl hatte die Mitgliedstaaten zu einer gesetzlichen Regelung verpflichtet, die vorsieht, dass die Verarbeitung personenbezogener Daten erfolgen darf, wenn die betroffene Person ohne jeden Zweifel darin ihre Einwilligung gibt. Art. 2 lit. h DSRl definierte die „Einwilligung der betroffenen Person“ als „jede Willensbekundung, die ohne Zwang für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“. § 4a BDSG a.F. als zentraler Norm der Wirksamkeitsanforderungen setzte diese Anforderungen an Einwilligungen in nationales Recht um.

5

Ein direktes „Vorbild“ für Art. 7 DSGVO findet sich in der DSRl nicht. Art. 7 DSGVO greift in Verbindung mit Art. 6 Abs. 1 UAbs. 1 lit. a und Art. 4 Nr. 11 DSGVO die Anforderungen auf, die sich aus der Auslegung der DSRl ergaben und nun ausdrücklich als Grundsätze der wirksamen Einwilligung normativ festgelegt werden. Die sich aus Art. 7 Abs. 1 DSGVO ergebende Nachweispflicht findet sich in Art. 7 lit. a DSRl nur insoweit wieder, als es dort heißt, dass die Einwilligung „ohne jeden Zweifel“ erteilt worden sein muss. Den Nachweis dafür hat nach der allgemeinen materiellen Beweislastverteilung derjenige zu erbringen, der sich auf das Vorliegen der Einwilligung beruft.7 Art. 7 Abs. 1 DSGVO betont diese Nachweispflicht, was der Philosophie des die Accountability regelnden Art. 5 Abs. 2 DSGVO entspricht. Mit dem Nachweis bleibt die Beweisfunktion erhalten, die nach dem Fortfall des für den Regelfall vorgesehenen Schriftformerfordernisses aus § 4a Abs. 1 Satz 3 BDSG a.F. von Bedeutung ist; der Übereilungsschutz und die Warnfunktion mögen dagegen künftig eine geringere Rolle spielen, was durch das Widerrufsrecht einen Ausgleich findet.8

6

An der herausragenden Bedeutung der zweckgebundenen Einwilligung der betroffenen Person hält die DSGVO fest, indem sie die Einwilligung als ersten Erlaubnistatbestand in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO nennt.9 Werden Daten für verschiedene Zwecke verarbeitet, muss für jeden Zweck eine eigene informierte Einwilligung eingeholt und dokumentiert werden.10 Eine pauschale Einwilligung in „die Datenverarbeitung“ ist unzulässig.11

7

Nach früher geltendem Recht musste die Einwilligungserklärung jederzeit abrufbar sein (§ 28 Abs. 3a BDSG a.F.). Auch § 13 Abs. 2 Nr. 3 TMG a.F. sah eine solche jederzeitige Abrufbarkeit vor.12 Diese Anforderung ist von der DSGVO nicht übernommen worden. Das in Art. 7 Abs. 4 DSGVO enthaltene sog. Kopplungsverbot war bis zur ersatzlosen Streichung 2009 als allgemeines Prinzip in § 12 Abs. 3 TMG a.F. ausdrücklich auch für die Datenverarbeitung von Bestands- und Verkehrsdaten durch Telemedien normiert worden.13

8

Die Datenschutzvorschriften des TMG a.F. und des TKG a.F. sind nun mit dem Art. 1 des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) zusammengeführt worden.14 Im TMG a.F. wurde der Abschnitt 5 (Datenschutz) aufgehoben. Das TKG wurde durch Art. 1 des Telekommunikationsmodernisierungsgesetzes neu gefasst.15

9

Nach § 9 Abs. 2 Satz 1 und 3 TTDSG dürfen teilnehmerbezogene Verkehrsdaten und die zielnummernbezogene Verwendung von Verkehrsdaten nur nach Einwilligung gemäß DSGVO verarbeitet werden.16

10

Nach § 13 Abs. 1 Satz 1 TTDSG dürfen Standortdaten nur in dem zur Bereitstellung von Diensten mit Zusatznutzen erforderlichen Umfang und innerhalb des dafür erforderlichen Zeitraums verarbeitet werden, wenn sie anonymisiert wurden oder wenn der Nutzer vom Anbieter des Dienstes mit Zusatznutzen gemäß der DSGVO informiert wurde und er eingewilligt hat.17

11

Gemäß § 13 Abs. 1 Satz 4 TTDSG dürfen Standortdaten für einen Dienst mit Zusatznutzen, der die Übermittlung von Standortdaten eines Mobilfunkendgerätes an einen anderen Nutzer oder Dritte, die nicht Anbieter des Dienstes mit Zusatznutzen sind, zum Gegenstand hat, nur nach ausdrücklicher, gesonderter und schriftlicher Einwilligung des Nutzers gegenüber dem Anbieter des Dienstes mit Zusatznutzen verarbeitet werden.

12

§ 25 Abs. 1 TTDSG enthält nun das Einwilligungserfordernis in das Setzen von sog. (nicht technisch erforderlichen) Cookies. Danach „sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, (...) nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“.18