Voraussetzungen der Einwilligung

Welche Voraussetzungen sollten nach Ihrer Meinung für eine wirksame Einwilligung in die Erhebung und Verarbeitung personenbezogener Daten gegeben sein, und in welcher Form? Wo sehen Sie ggf. einen Anpassungsbedarf? Inwieweit ist für die Einwilligung zu differenzieren, z. B. nach der Art der jeweils betroffenen Daten oder nach dem jeweiligen Zweck der Datenverarbeitung? Welche Besonderheiten ergeben sich aus dem Verhältnis der beiden betroffenen Seiten (z. B. bei Beteiligung von Bürger und Staat, von zwei Privatpersonen, von Arbeitgebern und Arbeitnehmern, von Verbraucher und Unternehmer/Anbieter oder sonstigen schutzwürdige Gruppen)?

Auch hier wären Beispiele gut. Ich sehe eigentlich nur das Problem, dass Werbeanrufe usw. nerven. Hier könnte ein klareres Opt-In sinnvoll sein. Generell ist das aber IMHO eher ein kleines Problem, dass sich auch ignorieren bzw. in den Papierkorb werfen lässt.

Hallo,

Zunächst einmal gehe ich davon aus, dass der letzte Satz des oben verlinkte Gesetzesausschnitt eine Online-Einwilligung erlaubt. Ist dies nicht der Fall, muss dies natürlich aufgenommen werden, denn bei einer derartig hohen Nutzeranzahl von Social Networks ist eine schriftliche Einwilligung nicht zu realisieren.

Bei der Einwilligung würde ich differenzieren.

Für Kinder und Jugendliche, würde ich eine gewerbliche Weiterverarbeitung von Daten verbieten. Dies gewährleistet, dass Kinder und Jugendliche nicht mit personifizierter Werbung bombadiert werden und hat den Vorteil, dass Kinder die ggf. nicht verantwortungsvoll mit Geld umgehen können nicht zu sehr zum Aggieren gereizt werden.
Für eine plattforminterne Weiterverarbeitung bei Kinder und Jugendlichen, wie z.B. für Algorithmen, die Nutzer der gleichen Schule o.ä. finden, sollte die Verwendung der Daten erlaubt sein, denn sonst ist der Mehrwert der heutigen Social Networks nicht wirklich gegeben. Dies liegt daran, dass viele der interessanten Zusatzfunktionen, wie das Finden von Freunden per Personenattribut oder das Aufzeigen von Freunden von Freunden nicht realisierbar wären. Optional sollte dies aber auch abschaltbar sein, für Kinder/Eltern, die besonders viel Wert auf Datenschutz legen.
Eine plattformübergreifende Verwendung von Daten (also eine indirekte Weitergabe der Daten an Dritte, z.B. bei einem API Aufruf) zur Realisierung von Funktionalität sehe ich als kritisch an, denn je weiter die Daten verbreitet werden, desto höher wird das Risiko, dass diese in falsche Hände geraten. Sei es durch die Weitergabe an einen unseriösen Anbieter oder durch mangelnde Sicherheitsvorkehrungen eines Drittanbieters.
Somit ist für Kinder und Jugendliche Voraussetzung zur Einwilligung, dass Daten nicht kommerziell weiterverarbeitet werden dürfen und dass die Daten optional zur Realisierung interner Funktionalität verwendet werden dürfen. Für die zuletzt genannte Option muss dem Kind vor der Einwilligung verständlich klar gemacht werden, welche Folge eine Zustimmung bzw. Ablehnung hat.

Bei Erwachsenen ist zwischen uneingeschränkter plattforminterner (also auch kommerzieller Nutzung), eingeschränkter plattforminterner Nutzung (also zur Realisierung von Plattformfunktionalität) und gar keiner Nutzung der Daten bei der Einwilligung zu differenzieren.
Bei der ersten Option ist die bereits angeprochene Ablehnung von Werbung mit persönlicher Kontaktaufnahme anzubieten, denn diese Art der Werbung verleitet in meinen Augen zu überhasteten und uninformierten Kauf von Gütern und Dienstleistungen. Des Weiteren muss hierbei eine Weitergabe der Daten an Dritte zur kommerziellen Nutzung ausgeschlossen werden, denn ansonsten werde die Nutzerdaten beliebig verbreitet ohne Kontrolle darüber zu haben, wer diese erhält. Dabei ist auch eine Auflistung von Drittanbietern, die diese erhalten würden sinnlos, denn Werbepartner ändern sich schnell. Ziel der ersten Option ist es, Personen, die lieber personifizierte Werbung erhalten möchten, diese Möglichkeit zu bieten.
Die zweite Option hat zur Folge, dass die Daten nicht zur Realisierung von personifizierter Werbung verwendet werden dürfen, wohl aber zur Realisierung von plattforminterner Funktionalität, wie z.B. das bereits angesprochene Finden von Freunden anhand bestimmter Personenattribute. Dies hat zur Folge, dass der Mehrwert der Plattformen genutzt werden kann und das allgemeine Werbung zu sehen sein wird.
Die dritte Option, bietet die Möglichkeit, die Nutzung personifizierter Daten komplett zu verbieten. Dies ist für Personen anzubieten, die sehr viel Wert auf Datenschutz legen aber trotzdem nicht auf Internettrends verzichten möchten.

Beste Grüße
Robert Fretschner

Wie der Vorposter schon schrieb, muss zwischen den Daten von Erwachsenen einerseits und Kindern und Jugendlichen andererseits unterschieden werden.

Für alle Daten sollte ein generelles Verbot der Weitergabe existieren. Der Betroffene kann schriftlich einer Weitergabe an explizit angegebene Entitäten zustimmen (Beispiel: Zustimmung zur Schufa-Auskunft), alles andere geht nicht. Eventuelle Ausnahmen sollten auf ein absolutes Minimum beschränkt werden.

Für Kinder und Jugendliche würde ich ein generelles Verbot der Datenweitergabe ohne jede Ausnahme als absoluten Minimalstandard ansehen. Die Erhebung der Daten darf nur mit Zustimmung eines Gesetzlichen Vertreters erfolgen. Die Daten sollten als besonders Schutzwürdig betrachtet werden und ihre Speicherung darf auf keinen Fall permanent sein, sondern muss auf eine gesetzlich festzulegende maximale Speicherdauer beschränkt sein.

Des Weiteren sollte auch an die bestehenden Daten gedacht werden. Existierende Datenbestände sollten von ihren Verwendern überprüft werden, und Datensätze, zu denen keine explizite schriftliche Einwilligung zur Speicherung vorliegt, müssen gelöscht werden. Die Datenschutzbeauftragten sind so mit Rechten und Personal auszustatten, dass sie regelmäßige Kontrollen über die Einhaltung dieser Regeln durchführen könnnen und bei Verstoß signifikante Strafen verhängen können.

Ich bin mir im klaren darüber, dass die Branche der Adresshändler gegen jede Rückeroberung der Datenautonomie durch ihre Opfer endlos durch ihre Lobbyisten jammern wird, aber hier müssen endlich mal die Rechte der Bürger über das Profitinteresse einiger weniger gestellt werden.

Zitat:

---

Zitat von enquete1

Welche Voraussetzungen sollten nach Ihrer Meinung für eine wirksame Einwilligung in die Erhebung und Verarbeitung personenbezogener Daten gegeben sein, und in welcher Form?

---

Voraussetzung für eine Einwilligung ist zuvor einmal eine klare und deutliche Aufklärung über den Zweck der Einwilligung mit alle daraus resultierenden Konsequenzen. Dabei sollte darauf Wert gelegt werden, das nicht Juristen in ihren Worten den tatsächlichen Sachverhalt verklausulieren, sondern das transparent angesprochen wird, worin tatsächlich eingewilligt wird.

Mir ist bewusst, das Unternehmen und Organisationen, die eine wirksame Einwilligung vom Betroffenen erbeten, sich dabei nicht selber einschränken wollen, aber wie soll ein Betroffener denn Wirkungsvoll sein Recht auf informationelle Selbstbestimmung ausüben können, wenn er nicht klar darauf hingewiesen wird und er die Konsequenzen seiner Einwilligung abschätzen kann.

Zitat:

---

Zitat von enquete1

Wo sehen Sie ggf. einen Anpassungsbedarf?

---

Keine Verallgemeinerungen sondern klare Ansprache der Zwecke, der Ziele unter Benennung der verantwortlichen Stellen. Anstelle

"...ich willige ein in Werbung zu Dienstleistungen aus dem Finanz- und Versicherungssektor..."

lieber

"...ich willige ein in Werbung zu (bitte zutreffendes ankreuzen): Lebensversicherungen, Hausratsversicherungen,... der Unternehmen A, B, C..."

In Abhängigkeit des Kommunikationskanals sollte dann auch eine Verifizierung der Einwilligung erfolgen. Dies sollte Verhältnismäßig geschehen, aber dabei die Notwendigkeit einer revisionssicheren Dokumentation Rechnung tragen.

Einwilligungen müssen immer im Kontext gesehen werden und benötigen daher auch ein individuelles "Verfallsdatum". Um den Aufwand für den Betroffenen zu minimieren, wäre daher eine Abstimmung des "Verfallsdatum" durch Mitbestimmung des Betroffenen die optimale Lösung. Bevor es aber immer und zwangsweise zu unbefristete Laufzeiten von Einwilligungen führt, muss eine pauschale Obergrenzen festgeschrieben werden. Die von verschiedenen Gerichten im Falle der Werbung häufig diskutierten "2 Jahre" sehe ich ebenfalls als praktikabel an.

Zitat:

---

Zitat von enquete1

Inwieweit ist für die Einwilligung zu differenzieren, z. B. nach der Art der jeweils betroffenen Daten oder nach dem jeweiligen Zweck der Datenverarbeitung?

---

Der Grad des Missbrauchspotentials muss hierbei eine wichtige Rolle spielen. Wie bereits bei der Novellierung des BDSG und des UWG in 2009 geschehen, wurden die unterschiedlichen Werbeformen und deren Belästigungsgrad bei unerwünschter Werbung als Maßstab genutzt.

Im Kontext der sozialen Netzwerke (um ein Beispiel zu nennen) darf die Einwilligung in die Veröffentlichung von Daten nicht schon pauschal beim Anlegen eines Accounts erfolgen, sondern sie muss im Kontext der jeweiligen Information bzw. des jeweiligen Informationsblockes eingeholt werden. Nur wenige Benutzer solcher Netzwerke erstellen in einem Rutsch Ihr Profil, sondern bauen dieses sukzessive auf. Kommt ein neuer Informationsblock hinzu, muss eine Kontexteinwilligung eingeholt werden, die dann auch zu bestätigen ist.

In Abhängigkeit von der Art der Daten (hierzu zähle ich auch Daten die einen direkten Kontakt zulassen, Daten zum Lebenslauf, Bilder und Videos, etc. da bei Ihnen der Grad des Missbrauchs und der daraus resultierende Schaden hoch ist) sind entsprechende Meldungen verpflichtend, die im Vorfeld der Einwilligung auf mögliche Konsequenzen hinweisen (z.B. Verstoß gegen Uhrheberrechte oder gegen das Recht am eigenen Bild Dritter, usw.).

Zitat:

---

Zitat von enquete1

Welche Besonderheiten ergeben sich aus dem Verhältnis der beiden betroffenen Seiten (z. B. bei Beteiligung von Bürger und Staat, von zwei Privatpersonen, von Arbeitgebern und Arbeitnehmern, von Verbraucher und Unternehmer/Anbieter oder sonstigen schutzwürdige Gruppen)?

---

Das Prinzip eines Schutzgesetzes muss unangetastet bleiben. Es gilt den Bürger vor dem Staat zu beschützen, den Arbeitnehmer vor dem Arbeitgeber, den Verbraucher vor dem Unternehmen/Anbieter, usw.

Dies gilt meiner Meinung nach auch im Verhältnis zwischen zwei Privatpersonen. Wenn eine Person ein Bild veröffentlichen will (im Folgenden als "verantwortliche Personen" bezeichnet), auf dem auch eine weitere Person zu erkennen ist (im Folgenden als "betroffene Person" bezeichnet), dann braucht es auch hier einer Einwilligung, sofern das Bild in einem Medium veröffentlicht werden soll, wo es sich mittelbar der Kontrolle der verantwortlichen Person entzieht. Der potentielle Schaden, der einer betroffenen Personen durch eine nicht autorisierte Veröffentlichung entstehen kann, rechtfertigt in meinen Augen den administrativen Mehraufwand einer wirksamen Einwilligung. Eine Verpflichtung der Dienstleistungsanbeiter (z.B. der Betreiber eines sozialen Netzwerkes, aber auch einer Verlag zählt dazu) zur Verifizierung der Existenz einer wirksamen Einwilligung zur Veröffentlichung, sehe ich hier nicht, sehrwohl aber die Notwendigkeit einer Information an die verantwortliche Person, das eine wirksame Einwilligung der betroffenen Person erforderlich ist mit Hinweisen auf eventuelle Konsequenzen.

-- Der Beitrag wurde auf Wunsch des Nutzers entfernt. --

Auch hier im Forum erkennt man, dass sehr häufig der Datenschutz mit dem Schutz vor belästigender Werbung gleichgesetzt wird. Die Frage der Weitergabe von Daten an Dritte zur Verarbeitung ist hier wesentlich tiefgreifender. So gibt es nützliche, lästige und schädliche Folgen der Weitergabe von Daten. Beispiele hier können sein. Meldung von Liquiditätsdaten an die Schufa durch die Bank oder andere Firmen, die Meldung des Kinderarztes an das Jugendamt beim Verdacht von Kindesmisshandlung, oder die Mitteilung von Gesundheitsdaten durch den behandelnden Arzt an die Krankenkasse oder an den Arbeitgeber. Die Anforderungen an die Einwilligung sind vor allem auch an die Sensibilität der Daten zu knüpfen. Auch ist hier die Frage zu stellen, ob die Einwilligung des Betroffenen der alleinige Maßstab sein soll. Im Falle der Meldung des Kinderarztes an das Jugendamt, wird diese Einwilligung nur schwer zu bekommen sein. In anderen komplexen wirtschaftlichen bzw. sicherheitsrelevanten Zusammenhängen wird der Verbraucher gar nicht genug verstehen, um eine wirksame aufgeklärte Einwilligungserklärung abgeben zu können. Hier sind auf jeden Fall zusätzliche Regelungen notwendig, die die Verwendung der Daten unabhängig etwaiger Einwilligungsmöglichkeiten Einschränken.

Zitat:

---

Zitat von aquilo

-- Der Beitrag wurde auf Wunsch des Nutzers entfernt. --

---

Hierin kann imho ein Ansatz liegen. Es ist dabei allerdings auch darauf zu achten, dass bestimmte wirtschaftliche Prozesse nicht überstrapaziert werden. Nehmen wir wieder den Arztbesuch. Der Arzt leiten Daten an, die Krankenkasse, das Labor, seinen Steuerberater, seinen Inkassodienstleister usw. Die ausdrückliche Aufklärung der Patienten, wäre in der von der Krankenkasse bezahlten Gesprächszeit gar nicht möglich. In solchen Fällen denke ich, kann man auch auf die "mutmaßliche Einwilligung" zurückgreifen. Jedoch sind in diesem Fall hohe Anforderungen an das öffentliche Verfahrensverzeichnis zu stellen, mit der Konsequenz, dass Mängel in diesem unmittelbar zum Wegfall der "mutmaßlichen Einwilligung führen"

Eine Einwilligung zur Nutzung von Daten sollte grundsätzlich zeitlich beschränkt sein.
Nach Ablauf dieser Einwilligungszustimmung, beispielsweise nach zwei Jahren, muss dieser erneuert werden.

Hierzu ist es notwendig, bei der Zustimmung eine Kontaktmöglichkeit für die Erneuerung der Einwilligung anzugeben. Ist der Urheber nach Ablauf der gesetzten Frist hierüber nicht mehr erreichbar, erlischt die Einwilligung.

Es sollten auch verschiedene Klassen von Informationen gebildet werden, die unterschiedlich gehandhabt werden. Ein Klasse sind "persönliche Daten", darunter fallen Adresse, Name, Email, Geburtsdatum, Bankverbindungen, Ausbildung, Einkommen usw.. Diese Daten haben erhöhten Schutz.
Die zweite Klasse sind "Einstellungen und Tätigkeiten". Darunter fallen Foreneinträge, Statusmeldungen (auch Ortsbezogen), Interessenbekundungen oder Bilder. Hier kann ein "Verfallsdatum" der Einwilligung auch langfristiger sein.

Grundsätzlich gilt aber: "Das Internet muss vergesslich werden"

Google Streetview sammelt Panoramabilder und stellt diese durch das Internet der Bevölkerung zur Verfügung.
Es ist eindeutig, dass ohne „Blurring“ von Personen bezogenen Daten in diesem Fall eine Einwilligung erforderlich ist.
Wie verhält sich aber die Situation, wenn ein Unternehmen ähnliche Panoramabilder erzeugt und diese Kommunen sowie staatlichen Einrichtungen zur Verfügung stellt, die laut einer Gesetzgebung mit Personen bezogenen Daten umgehen dürfen?
Ist es dem Hersteller Unternehmen erlaubt, die Panoramabilder ohne Einwilligung (und ohne Blurring) an Dienstleistungsunternehmen weiter zu geben, die im Auftrag der vorgenannten Organisationen handeln?

Streetview und andere Dienste machen die Bilder im öffentlichen Raum. Da spricht aus meiner Sicht erst einmal nichts dagegen.

Die Problematik ist die Verbindung mit persönlichen Daten. Folgendes konkretes Szenario:
Facebook kennt durch ein Profilbild das Aussehen einer Person - so wie der Staat jeden durch das Passbild kennt. Die Gesichtserkennung ist inzwischen so gut, dass ohne Weichzeichnung (Blurring) Personen auf Bildern (z.B. Streetview oder allen privaten Urlaubsbildern auf Flickr) automatisch erkannt werden können. Zusammen mit der Ortsangabe des Bilders (Geotagging) und des Aufnahmezeitpunktes können so Bewegungsprofile erstellt werden – ohne jegliche Zustimmung der fotografierten Person.

Bei Google Streetview ist das durch das Weichzeichnen von Gesichtern unterbunden - bei vielen anderen Diensten nicht. Gerade bei privaten Bildern, welche online gestellt werden, wird sich ein grundsätzliches Weichzeichnen wie bei Streetview nicht handhaben lassen. Hier sind also die Tore offen. So arbeitet Facebook meines Wissens nach derzeit an einer Funktion, welches Personen automatisch auf Bildern anderer Nutzer erkennt.

Es müsste also geregelt werden, das eine automatische Verknüpfung von Bildern zu Personen (z.B. durch Gesichtserkennung) einer Zustimmung bedarf. Grundsätzlich verbieten würde ich es nicht. Es kann ja auch sehr praktisch sein, sich selber automatisch auf Bildern finden zu lassen (z.B. um diese dann entfernen zu lassen).

Eine Einwilligungserklärung sollte an Form- und Gestaltungsmindestanforderungen sowohl in der analogen als auch in der digitalen Welt geknüpft sein. Die Erklärung muss außerdem zusätzlich zu anderen (Vertrags-)erklärungen abgegeben werden, um den regelmäßig zusätzlichen Charakter der Einwilligung in eine Datenverarbeitung, Datenerhebung, Datenweitergabe deutlich zu machen.

Ich finde, alles was hier bislang diskutiert wurde, viel zu kompliziert. Auch die bestehenden Gesetze sind zu sehr als Schutz-, ja Verhinderungsvorschriften ausgestaltet. Ich plädiere dafür, die Gesetze zu lockern und Bürgern, Verbrauchern, Firmen und gesellschaftlichen Gruppen mehr Möglichkeiten zu geben, kreativ zu werden. Wenn es mir nicht passt, dann muss ich auf der anderen Seite auch die Möglichkeiten der Nutzung meiner Daten zu widersprechen.

Sofern der Staat im Spiel ist, ist auf Datensparsamkeit zu achten. Das soll aber nicht verhindern, dass Behörden Daten austauschen dürfen. Wenn ich gesetzlich verpflichtet bin, zB bei einer Behörde mein Einkommen nachzuweisen, dann kann doch gleich das Finanzamt angefragt werden. Wieso muss ich da noch meinen Bescheid kopieren?

Zitat:

---

Zitat von datennutzer

Wenn ich gesetzlich verpflichtet bin, zB bei einer Behörde mein Einkommen nachzuweisen, dann kann doch gleich das Finanzamt angefragt werden. Wieso muss ich da noch meinen Bescheid kopieren?

---

Weil es ein Steuergeheimnis gibt und das Einkommen auch auf andere Art nachgewiesen werden kann als durch Vorlage eines Einkommensteuerbescheides.

Na, dann hast Dum aber keine Kinder, die im Kindergarten sind oder eine private Schule besuchen. Da wird regelmäßig der Einkommensteuerbescheid verlangt. Aber das ist eine .Nebendiskussion...

Vorraussetzungen:

1. Verständlichkeit: AGBs und Datenschutzerklärungen als komplette Texte liest kein Nutzer. Sie sollten zu Beginn in einfachen, kurzen Punkten zusammengefasst und so deutlich werden, auf was sich ein Nutzer einlässt - bevor dann der Text in voller Länge abgedruckt ist. Bei großen Anbietern könnte das durchaus durch Externe erfolgen.

2. Usability: Eine Einwilligung muss benutzerfreundlich erfolgen und sich an technische Standards halten. Webangebote dürfen nicht verkompliziert werden. Mit einem Beispiel kurz auf den Punkt gebracht: Jedes Mal einen Cookie bestätigen zu müssen, ist nicht praktikabel.

3. Transparenz: Es sollte deutlich werden, was meine Einwilligung für Folgen hatte. Was wurde wie mit meinen Daten gemacht? Welche Daten werden wie von mir gesammelt? Hier sind technisch innovative Lösungen gefragt!

4. Widerrufbarkeit: Eine Einwilligung muss widerrufbar bleiben.

5. Nachvollziehbarkeit: Nutzer geben ihre Einwilligung zur Datennutzung an vielen verschiedenen Stellen im Web. Viele davon suchen sie nur 1-2 auf, bis sich zeigte, dass der jeweilige Dienst nutzlos für sie ist. Damit gerät die Einwilligung in Vergessenheit. Der Nutzer sollte dazu befähigt werden, auf einfache Art und Weise selbst einen Überblick über die Nutzung seiner Daten zu behalten. Eine zentrale Lösung ist dabei nicht zwangsläufig die beste Lösung. Monatliche oder jährliche Mailings über den Stand der Einwilligung und die Nutzung der Daten in der verstrichenen Zeit wären eine Möglichkeit.

Differenzierung:

1. Umso umfangreicher die personenbezogenen Daten sind, desto klarer muss sein, was mit ihnen passiert und desto weitreichender muss die Art der Einwillung sein.

2. Nach den Interessen der jeweiligen Seite. Wird nur vor Missbrauch des Dienstes geschützt, oder werden kommerzielle Interessen verfolgt?

Anpassungsbedarf:

1. Die Möglichkeit der Anonymität im Internet muss gewahrt bleiben!

2. Eine Nicht-Einwillgung sollte - sofern durchführbar - nicht zu einer Exklusion führen. Kein Einwilligungszwang, weder direkt noch indirekt.