Aufsatz : Das Schriftformerfordernis der Einwilligung nach § 4a BDSG im Pendelblick zu Art. 7 DS-GVO : aus der RDV 3/2017, Seite 116 bis 123

III. Die Rechtslage nach § 4a BDSG

Eine datenschutzrechtlich relevante Erklärung ist die Einwilligung, welche in § 4a BDSG ihre Regelung findet. § 4a Abs. 1 S. 3 BDSG bestimmt, dass die Einwilligung der Schriftform bedarf, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. § 126 Abs. 1 BGB schreibt zur Erfüllung eines gesetzlichen Formerfordernisses vor, dass „die Urkunde von dem Aussteller eigenhändig durch Namensunterschrift oder mittels notariell beglaubigten Handzeichens“ unterzeichnet wird. Die Schriftform führt zur Entstehung einer Urkunde.^[8] Dieser im Gesetz nicht näher erläuterte Begriff wird von der Literatur als die schriftliche Verkörperung einer Gedankenerklärung definiert, die sich auf einem Medium befindet, das geeignet ist, Schriftzeichen dauerhaft festzuhalten.^[9] Die datenschutzrechtliche Kommentarliteratur sieht recht einmütig für die datenschutzrechtliche Einwilligung das Schriftformerfordernis des § 126 Abs. 1 BGB zur Anwendung berufen, bleibt jedoch eine Begründung weitgehend schuldig.^[10] Die Rechtsprechung hat sich mit dieser Problematik im Rahmen des Datenschutzrechts – soweit ersichtlich – bisher noch nicht näher beschäftigt.^[11] Im Schrifttum wird von der Anwendbarkeit der §§ 125, 126 BGB – beispielsweise bei Fragestellungen der Auftragsdatenverarbeitung – ausgegangen.^[12] Dies ist jedoch keineswegs zwingend, denn der Schriftlichkeitsbegriff des BDSG kann ein anderer sein als der des BGB.^[13] Ein ausdrücklicher gesetzlicher Hinweis der datenschutzrechtlichen Regelung auf das BGB fehlt. Inwieweit die Normierung des Schriftformerfordernisses, die § 126 Abs. 1 BGB enthält, auf die Einwilligung nach § 4a BDSG Anwendung findet, ist also sorgfältig zu prüfen. Dabei sind stets die eigenständigen Formzwecke, die einer Regelung innewohnen, zu erforschen und zu berücksichtigen.

1. Allgemeine Ansicht: Anwendbarkeit nur auf privatrechtliche Vorschriften

§ 126 BGB gilt für alle Schriftformerfordernisse des BGB sowie anderer privatrechtlicher Gesetze.^[14] Über das BGB hinaus findet diese Vorschrift also grundsätzlich nur im Privatrecht Anwendung. Außerhalb von öffentlich-rechtlichen Verträgen gilt § 126 BGB für die öffentlich-rechtliche Schriftform nicht,^[15] und zwar grundsätzlich auch nicht analog.^[16] Damit kommt der Frage, ob das BDSG dem Privatrecht oder dem öffentlichen Recht zuzuordnen ist, entscheidende Bedeutung zu. Diese Zuordnung liegt keineswegs auf der Hand – die stärkeren Argumente sprechen wohl aber für eine öffentlich-rechtliche Verortung der allgemeinen Regelungen des Datenschutzrechts.

Das BDSG schützt den Betroffenen vor Missbrauch von Daten durch datenverarbeitende Stellen. Der in § 1 normierte Zweck des Gesetzes besteht darin, zu verhindern, dass der Einzelne in seinem Persönlichkeitsrecht beeinträchtigt wird. Das BDSG ist damit ein Eingriffsgesetz, mit dem Eingriffe in das Grundrecht auf informationelle Selbstbestimmung legitimiert werden können.^[17] Folglich ist den Normen ein öffentlich-rechtlicher Charakter nicht grundsätzlich abzusprechen.

Die Regelung in § 4a BDSG enthält entsprechende Verfahrensbedingungen, die verhindern sollen, dass der Datenschutz allzu leicht unterlaufen wird.^[18] Dazu zählt neben der Einsichtsfähigkeit und vorherigen Information des Betroffenen, dem Bestimmtheitserfordernis und der Freiwilligkeit der Entscheidung auch die Schriftform der Erklärung. Aus dem bisher Gesagten ergibt sich nun, dass dieses Schriftformerfordernis nicht automatisch den Anforderungen des BGB unterworfen werden kann. Vielmehr handelt es sich bei der Regelung des § 4a Abs. 1 S. 3 BDSG um eine dem öffentlichen Recht zuzuordnende Norm. Mithin findet § 126 Abs. 1 BGB hier keine Anwendung.

2. Herrschende Meinung: Keine Anwendbarkeit auf rechtsgeschäftsähnliche Handlungen

Darüber hinaus könnte eine Anwendbarkeit des § 126 BGB auf das Schriftformerfordernis des § 4a BDSG aufgrund des Rechtscharakters der Einwilligungserklärung ausscheiden.

Das BGB enthält im 3. Abschnitt des ersten Buches detaillierte Vorschriften über Willenserklärungen, die konstitutiv für ein Rechtsgeschäft sind. Dafür gilt explizit auch die Regelung über die Schriftform in § 126 BGB. Keine ausdrückliche Regelung enthält das Gesetz demgegenüber für rechtsgeschäftsähnliche Handlungen. Während ein Rechtsgeschäft aus einer oder mehreren Willenserklärungen besteht, die allein oder in Verbindung mit anderen Tatbestandsmerkmalen eine Rechtsfolge herbeiführen, weil sie gewollt ist, sind geschäftsähnliche Handlungen auf einen tatsächlichen Erfolg gerichtete Erklärungen, deren Rechtsfolgen kraft Gesetzes eintreten.^[19] Gemeinsam ist Willenserklärungen und geschäftsähnlichen Handlungen, dass die Rechtsfolge an einen Erklärungstatbestand anknüpft, wodurch sie sich von Realakten abgrenzen lassen. Eine Willenserklärung führt jedoch Rechtsfolgen herbei, weil sie erklärt und gewollt sind. Darin unterscheidet sie sich von geschäftsähnlichen Handlungen, welche kraft Gesetzes eintretende Rechtsfolgen auslösen.^[20] Regelmäßig ermöglichen oder verhindern sie den Eintritt gesetzlich angeordneter Folgen des Tätigwerdens oder Untätigbleibens.^[21] Ausgehend von dieser Definition erfolgt die rechtliche Einordnung der Einwilligung übereinstimmend als geschäftsähnliche Erklärung.^[22]

Nach der Ansicht der Rechtsprechung gilt die gesetzliche Schriftform des § 126 Abs. 1 BGB jedoch nur für Rechtsgeschäfte.^[23] Dem ist zuzustimmen. Die Norm enthält zwar ihrem Wortlaut nach eine solche Beschränkung auf Rechtsgeschäfte nicht. Sie ergibt sich aber aus dem systematischen Zusammenhang mit § 125 S. 1 BGB: Danach ist ein „Rechtsgeschäft“, welches der durch Gesetz vorgeschriebenen Form ermangelt, nichtig.^[24] Der Gegenstand, an den sich diese Anforderungen richten, muss aufgrund des inneren Zusammenhangs der beiden Normen ebenfalls ein Rechtsgeschäft sein. Hinzu kommt, dass beide Vorschriften des BGB im Abschnitt über „Rechtsgeschäfte“ und unter dem Titel „Willenserklärungen“ stehen.^[25] Eine direkte Anwendung des § 126 Abs. 1 BGB auf rechtsgeschäftsähnliche Handlungen scheidet somit aus. Dies gilt mithin auch für eine Geltung im Rahmen des § 4a Abs. 1 S. 3 BDSG.

3. § 126 Abs. 1 BGB findet im Datenschutzrecht keine Anwendung

Somit kann die Schriftform des BGB nicht in das BDSG übernommen werden. Dies mag nicht der herrschenden Meinung entsprechen, doch kommt etwa Plath über einen Umweg zu in der Praxis wohl vergleichbaren Ergebnissen, allein unter Heranziehung der Ausnahmeklausel des § 4a Abs. 1 S. 3 BDSG.^[26]Plath nimmt also an, dass die Schriftform des § 126 Abs. 1 BGB grundsätzlich gelte, aber in vielen Fällen „unangemessen“ und „nicht praktikabel“ sei.^[27] Daher dürften die „besonderen Umstände“ nach § 4a Abs. 1 S. 3 BDSG nicht eng, sondern müssten besonders weit ausgelegt werden.^[28] Stringenter, da nicht mit Ausnahmen begründet, sondern einer sauberen Auslegung, ist die Anwendung eines eigenständigen Schriftlichkeitsbegriff im Rahmen des § 4a Abs. 1 S. 3 BDSG.

IV. Eigenständiger Schriftlichkeitsbegriff des BDSG

Dieser Schriftlichkeitsbegriff ist nach dem Sinn und Zweck der vorgeschriebenen Schriftlichkeit zu bestimmen.

1. Technikoffener Schriftlichkeitsbegriff des BDSG

Der eigenständige Schriftlichkeitsbegriff des BDSG erhellt sich daraus, dass das Schriftlichkeitserfordernis auf Art. 17 Abs. 4 EG-Datenschutz-Richtlinie zurückzuführen ist. Schriftlichkeitserfordernisse im Gemeinschaftsrecht sind nach der Rechtsprechung des EuGH autonom europäisch auszulegen.^[29] Dabei ist der Zweck der Vorschrift maßgeblich zur Auslegung heranzuziehen. Art. 17 Abs. 4 EG-Datenschutz-Richtlinie benennt als Zweck der Schriftform ausdrücklich die Beweissicherung. Diese kann aber auch ohne Unterschrift gewährleistet werden, es genügt etwa die Textform.

In den Gesetzesmaterialien zur 2. BDSG-Novelle finden sich keine Ausführungen zu dieser Problematik. Dies mag daran liegen, dass man der verbreiteten Ansicht im Schrifttum folgen wollte, oder aber daran, dass man es nicht als Problem gesehen hat. Jedenfalls wird aber auch dort deutlich, dass es dem Gesetzgeber im Wesentlichen darauf ankam, dass die erforderlichen Angaben fixiert werden, weniger aber, wie diese zu fixieren sind.

Dies spricht alles für einen technikoffenen Ansatz. Überzeugend ist dabei ein zweiter Blick auf die Gesetzgebungsgeschichte des BDSG. Das Gesetz entstand mit dem Ziel einer Legitimation und gleichzeitigen Begrenzung staatlicher Maßnahmen, die personenbezogene Daten der Bürger betrafen. Hintergrund war die Feststellung, dass sich im Rahmen der elektronischen Datenverarbeitung die spezifische Gefahren aus der Kürzung inhaltlicher Angaben (sog. Kontextverlust), aus der Geschwindigkeit und großen Zahl der Abruf- und Kombinationsmöglichkeiten, den dadurch bedingten verstärkten Kontrollmöglichkeiten, ferner aus dem „Verewigungseffekt“, der „Scheinobjektivität“ und dem dadurch auf den Betroffenen ausgeübten „Konformitätsdruck“ ergeben.^[30] Vor diesem Hintergrund spiegelt das Bestreben, personenbezogene Daten einem rechtlichen Schutz zugänglich zu machen, wohl wie kaum ein anderes Rechtsgebiet die Entwicklung der modernen Industriegesellschaft zur Informationsgesellschaft wider.^[31] Zunächst ließe sich somit schlussfolgern, dass der gesetzliche Datenschutz ein technikbezogenes Recht ist. Ein zweiter Blick erhellt jedoch, dass gerade die allgemeinen Generalklauseln, die der gesetzlichen Kodifizierung des Datenschutzes immanent sind,^[32] die Reaktion und Anpassung auf neue technische Entwicklungen ermöglichen.

So wurde auch zuletzt im Rahmen des aktuellen Gesetzesvorhabens, welches einen umfassenden Arbeitnehmerdatenschutz in das BDSG integrieren soll, in der zugehörigen Regierungsbegründung unter der Überschrift „Nachhaltigkeit“ deutlich gemacht, dass „die Regelungen technikneutral ausgestaltet sind und so die Gewähr bieten, zukünftige technische Entwicklungen mit zu umfassen“.^[33]

2. Effektiver Schriftlichkeitsnachweis

Ausgehend von der Feststellung, dass die Regelung des § 4a Abs. 1 S. 3 BDSG in erster Linie dem Zweck der Beweissicherung und Dokumentation dient, ist also anhand entsprechender Wertungskriterien zu bestimmen, wie dieser Nachweis praktisch und technisch ausgestaltet werden kann.

Als erstes Kriterium ist der Schutz vor Erheblichkeit der rechtlichen Wirkung einer Erklärung zu nennen.^[34] Die Anordnung eines Formzwangs ist also wesentlich durch die Qualität der Rechtsfolgen, die an die Erklärung geknüpft sind, bedingt: Je erheblicher sie ausfallen, desto eher spricht dies für eine höhere Formstrenge. So kann beispielsweise der Widerspruch nach § 613a IV BGB zum Verlust des Arbeitsplatzes führen und ist damit auch in der Form an besonders hohe Anforderungen zu knüpfen.^[35] Dagegen führt die Verwendung personenbezogener Daten regelmäßig nicht zu existentiellen Beeinträchtigungen des Arbeits- und Soziallebens des Einzelnen. Vielmehr ermöglicht sie oftmals erst die Teilhabe am gesellschaftlichen und technischen Fortschritt. Inwieweit der Einzelne seine Daten – z.B. einem Vertragspartner – preisgeben möchte, kann er von Fall zu Fall entscheiden, ohne im Grundsatz eine Entscheidung über die Beteiligung am Wirtschaftsverkehr zu treffen. Außerdem ist die Einwilligung jederzeit widerruflich.^[36] Obgleich die Einwilligung als gleichwertige Möglichkeit der Rechtfertigung im System des Verbots mit Erlaubnisvorbehalt steht, ist die Erheblichkeit der rechtlichen Wirkung einer einzelnen Erklärung für den Betroffenen damit als überschaubar einzustufen. Sie ist in Textform zu fixieren, bedarf jedoch nicht zwingend der eigenhändigen Unterschrift, solange der Einzelne erkennbar zugestimmt hat.

Des Weiteren ist auf die rechtliche Verbindlichkeit der Erklärung abzustellen.^[37] Auch hier gilt: Je höher die Rechtsverbindlichkeit einer Erklärung, desto stärker fällt das Bedürfnis nach Formstrenge aus.^[38] Die eigenhändige Unterschrift ist insbesondere dann als nicht notwendig anzusehen, wenn die Rechtsfolgen einer Erklärung leicht rückgängig zu machen sind. Bei der Einwilligung in datenverarbeitende Maßnahmen ist von der verantwortlichen Stelle stets die Möglichkeit des Widerrufs im Auge zu behalten. Bereits erfolgte Verarbeitungsprozesse werden nicht unwirksam, für die Zukunft gelten jedoch ausschließlich die gesetzlichen Erlaubnistatbestände. Auch unter diesem Gesichtspunkt ist eine schriftliche Fixierung unerlässlich. Der Schwerpunkt liegt aber wohl auf der genauen zeitlichen Niederschrift, der Bestimmtheit des Datenumfangs und auch der Festhaltung des Zwecks der Erhebung, Verarbeitung oder Nutzung.

Weiteres Kriterium für die Beantwortung der Frage, welche Anforderungen einem Formzwang zugrunde zu legen sind, ist die Schutzbedürftigkeit der Rechtssicherheit.^[39] Letztere ist immer und nur dann besonders hoch, wenn der Erklärende und der Erklärungsempfänger als Beteiligte oder aber ein Dritter regelmäßig ein Interesse an einer Fälschung der Erklärung haben werden.^[40] In diesen Fällen einer besonderen Manipulationsgefahr besteht zuvorderst das Bedürfnis, die Identität des Erklärenden im Rechtsverkehr einwandfrei offen zu legen. Dabei dürfen jedoch die praktischen Bedürfnisse des Datenschutzrechts nicht verkannt werden. Nicht zuletzt die EG-Datenschutz-Richtlinie wurde unter der Prämisse geschaffen, den Datenfluss für Unternehmen zu erleichtern.^[41] Damit dient die Einwilligung als Alternative zu den gesetzlichen Erlaubnistatbeständen, auch und gerade der Steigerung der flexiblen Rechtsgestaltung.

Festzuhalten bleibt darüber hinaus, dass das Hauptmotiv für die Anordnung des Formzwangs nach § 4a Abs. 1 S. 3 BDSG in der Sicherstellung einer ausreichenden Information und Dokumentation zu sehen ist.^[42] Nach dem bisher Gesagten kommt damit grundsätzlich auch eine Speicherung in elektronischer Form in Betracht.

3. Nachrangig: Effektiver Übereilungsschutz

Daneben kann der schriftlichen Niederlegung einer Erklärung insbesondere eine Warn- und / oder eine Beweisfunktion zukommen. Die Erklärung der Einwilligung stellt sich als Ausübung des Selbstbestimmungsrechts des Einzelnen dar.^[43] Im Datenschutzrecht ist sie – so gesehen – manifestes Zeichen der verfassungsrechtlich garantierten informationellen Selbstbestimmung.^[44] Wird die Einwilligung mit einem Schriftlichkeitserfordernis versehen, ist sie gleichzeitig als gesetzlicher Schutz davor anzusehen, die persönlichen Rechtspositionen – oder in diesem Fall Daten – nicht vorschnell preiszugeben.

Dazu dienen im Falle des BDSG aber insbesondere auch die weiteren Voraussetzungen für eine wirksame Einwilligung. Zunächst muss die Erklärung vor dem fraglichen Vorgang der Datenerhebung, -verarbeitung oder -nutzung abgegeben werden. Zu diesem Zeitpunkt muss auch die Einsichtsfähigkeit des Betroffenen gegeben sein. Der Einwilligende muss also die Konsequenzen seines Handelns übersehen; auf die Geschäftsfähigkeit kommt es dagegen nicht an.^[45] Nicht zuletzt entscheidend ist die Freiwilligkeit der Erklärung. Grundlage dafür ist die EG-DatenschutzRichtlinie, die in Art. 2 lit. h) eine wirksame Einwilligung nur dann annimmt, wenn diese „ohne Zwang“ abgegeben wurde. De facto ist man sich aber einig, dass die Existenz eines informationellen, wirtschaftlichen oder gesellschaftlichen Ungleichgewichts, wie es häufig zwischen Arzt und Patient, Bank und Kunden oder Arbeitgeber und Arbeitnehmer auftritt, nicht von vornherein jede „freiwillige“ Einwilligung ausschließt.^[46] Zu einer Unwirksamkeit der abgegeben Erklärung – und damit auch zur Unzulässigkeit der datenschutzrechtlich relevanten Maßnahme über die gesetzliche Rechtfertigung hinaus – führen jedoch die Missachtung des Kopplungsverbots, Fälle der „Überrumpelung“ oder das InAussicht-Stellen von Nachteilen bei fehlender Einwilligung.^[47] Ausgehend von der rechtssystematischen Erwägung, dass eine Einwilligung grundsätzlich immer möglich ist,^[48] wird sie hier schon an weitere Bedingungen geknüpft, die sie als Erlaubnisvorbehalt im Verbotssystem des BDSG verankern. Für die Schriftform nach § 4a Abs. 1 S. 3 BDSG bleibt damit vorrangig die Funktion der Beweissicherung und der Dokumentation.

Die Einwilligung nach § 4a Abs. 1 BDSG bietet die Möglichkeit einer Rechtfertigung datenschutzrechtlich relevanter Maßnahmen, die einem Verbot mit Erlaubnisvorbehalt unterliegen. Verwendet ein Unternehmen dann als verantwortliche Stelle auf dieser Grundlage personenbezogene Daten, tritt dies neben die gesetzliche Rechtfertigung. Von der Folge, ordnungswidrig zu handeln und der Bußgeldvorschrift des § 43 BDSG zu unterfallen, entbindet das datenverarbeitende Unternehmen jedoch ausschließlich die wirksame Einwilligung. Diese setzt neben einer Reihe wichtiger Bedingungen – wie der Freiwilligkeit der Erklärung – auch die Schriftform voraus. Die Schriftform dient damit nicht zuletzt dem Beweis dieser Rechtfertigung für die datenverarbeitende Stelle.

4. Kriterien eines effektiven Übereilungsschutzes

Sinn und Zweck der Warnfunktion der Schriftform erfordern es, dass die Art der Erteilung einer Einwilligung „bei den Beteiligten eine geschäftsmäßige Stimmung hervorruft, zu besonnenen Überlegungen herausfordert und die Ernstlichkeit der gefassten Entschließung gewährleistet.“^[49] Entscheidend ist insoweit, dass dem Einzelnen deutlich wird, dass er eine rechtserhebliche Erklärung abgibt und damit wirksam über sein Recht auf informationelle Selbstbestimmung sowie die in Rede stehenden Daten disponiert. Der „Akt des Schreibens“ darf sich mithin qualitativ nicht von der auf Papier gesetzten Unterschrift unterscheiden. Wird etwa ein Verfahren verwendet, bei dem ein optisches und haptisches Erlebnis erzeugt wird, das der rechtlichen Verbindlichkeit der Erklärung in gleichem Maße Gewicht verleiht, wie eine Unterschrift auf Papier, stehen der Schriftlichkeit dieser Erklärung keine Bedenken entgegen. Darüber hinaus dürfte jedenfalls derzeit noch der Einsatz elektronischer Schreibunterlagen gegenüber dem herkömmlichen Papierverfahren die Ausnahme bilden. Die mit der Form verbundene Warnfunktion muss deshalb bei einer elektronischen Unterschrift noch stärker zu Tage treten als bei der Unterzeichnung eines Papiers. Wer verspürt bei der Unterzeichnung eines ihm gereichten Dokuments schon noch eine „geschäftsmäßige Stimmung“, ein In-Sich-Gehen, gleichsam eine Walpurgisnacht des Rechtsbindungswillens? Die Realität ist doch die, dass Verträge unterzeichnet werden und sich die Parteien hinterher fragen, was im Kleingedruckten steht. Anderenfalls wären die zahlreichen Widerrufsvorschriften des BGB überflüssig, der Verbraucher bedürfte keines Schutzes, wird er doch durch die Schriftform stets und allerorten auf die Folgen seines Tuns hingewiesen. Die Unterschrift ist so alltäglich geworden, dass sie den Reiz des Besonderen verloren hat. Einem pawlowschen Hund gleich greift der moderne Mensch bei jedem Vertragsschluss wie selbstverständlich zu Stift und Papier. Der elektronischen Unterschrift hingegen haftet noch immer der Reiz des Neuen an – und ihr bringt man deshalb auch ein – hier durchaus positiv verstandenes, eben gesundes – Misstrauen entgegen.

Dementsprechend gilt es zur Wahrung der Schriftlichkeit i.S.d. BDSG behutsam vorzugehen. Daraus, dass § 126 Abs. 1 BGB keine Anwendung findet, kann nicht geschlossen werden, dass nun jedes irgendwie unterschriebene Dokument formwahrend wirkt. Vielmehr sind die Zwecke vorrangig der Nachweisfunktion, aber auch des Übereilungsschutzes mit der im elektronischen Verkehr notwendigen effektiven Einholung von Einwilligungen in Einklang zu bringen.

V. Das künftige Recht der DS-GVO: Art. 7 DS-GVO

Dass dieser technikbezogene Ansatz den Betroffenen bei Erteilung einer Einwilligung verfahrensmäßig effektiv schützt, ohne zugleich den Datenverkehr unnötig zu belasten, zeigt die Neuregelung in Art. 7 Abs. 1 DS-GVO. Diese geht deutlich weg von der Schriftform des § 126 Abs. 1 BGB und wählt den Weg einer Nachweispflicht.

1. Bloße Nachweispflicht im Rahmen des Art. 7 Abs. 1 DS-GVO

Ganz im Sinne der primären Nachweisfunktion legt Art. 7 Abs. 1 DS-GVO dem Verantwortlichen eine Nachweispflicht bei Berufung auf eine Einwilligung auf. Dieser trägt die Beweislast für das Vorliegen einer Einwilligung, was dem Verbot mit Erlaubnisvorbehalt nach Art. 6 Abs. 1 DS-GVO entspricht: Wer sich auf eine Ausnahme vom grundsätzlichen Verbot der Datenverarbeitung beruft, hat das Vorliegen der Voraussetzungen nachzuweisen. Art. 7 Abs. 1 DS-GVO konkretisiert für Einwilligungen damit das Prinzip der Rechenschaftspflicht, das in Art. 5 Abs. 2 DS-GVO Eingang gefunden hat.[50] Letztlich geht es um die Transparenz von Datenverarbeitungen.^[51] Schriftlichkeit – sei es nach § 126 Abs. 1 BGB oder nach eigenständiger Bestimmung im Rahmen des § 4a Abs. 1 S. 3 BDSG – wird künftig also nicht mehr zur Wirksamkeitsvoraussetzung einer Einwilligung erhoben. Dies mag man mit Blick auf den Übereilungsschutz kritisch sehen, doch wirkt insoweit gerade die jederzeitige Widerruflichkeit der Einwilligung entlastend: Je weniger bedeutend eine Erklärung ist, desto geringer können die Formanforderungen ausfallen. Zudem wird der Wegfall des Schriftformzwanges nicht zu einem Weggehen von schriftlichen Erklärungen – oder zumindest elektronisch vom Betroffenen angeklickten Buttons – führen. Der sorgsame Datenverarbeiter wird sich aufgrund seiner Nachweispflicht aus Art. 7 Abs.1 DS-GVO und seiner weitergehenden Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO davor hüten, ohne jede Art von dauerhaft in Zeichen verkörperter Bestätigung auf Grundlage einer Einwilligung Daten zu verarbeiten. Zu bedrohlich sind die Sanktionsmechanismen, die die DS-GVO zum Individualrechtsschutz eingebaut hat.^[52] Faktisch dürfte dieser „sanfte Druck“ mehr als ein normierter Schriftlichkeitszwang erreichen: Verantwortliche werden die effektivste Einholung von Einwilligungen zur Vermeidung unnötiger Transaktionskosten und zur Abwendung von Strafen wählen – das mag mal ein Button auf einer Homepage, mal eine E-Mail, mal aber auch klassisch ein Stück Papier sein.

2. Abweichung in § 26 BDSG-n.F. für den Beschäftigtendatenschutz

Im Beschäftigtendatenschutz sieht der nationale Gesetzgeber aber Handlungsbedarf und hat mit § 26 BDSG-n.F. die Schriftform für Einwilligungen im Beschäftigungskontext festgeschrieben. Nimmt man die dargestellten Zwecke in den Blick, präsentiert sich dieser Vorschlag als durchaus nachvollziehbar. Zwar trifft auch den Arbeitgeber (richtiger wäre Beschäftigenden), wie jeden anderen Datenverarbeiter auch, die Nachweispflicht des Art. 7 Abs. 1 DS-GVO. Das Beschäftigungsverhältnis ruft aber nach weitergehenden Regelungen, wenn eine Einwilligung in Rede steht, weil es naheliegend ist, dass der Arbeitgeber seine meistens bestehende wirtschaftliche Überlegenheit anderenfalls dazu nutzt, den Beschäftigten zur Abgabe der Einwilligung zu bewegen.^[53] Die Diskussion um die Freiwilligkeit der Einwilligung in solchen Zwangslagen ist eines der prominentesten Kinder des Datenschutzrechts, doch es wird mit den Jahren immer reifer. Statt „Alles-oder-Nichts-Lösungen“, wie dem vollständigen Ausschluss der Einwilligung in Beschäftigungsverhältnissen,^[54] sieht der Entwurf nun eine abgestufte Regelung mit Abwägungskriterien vor – gut so! Dass man als weitere Zutat die Schriftlichkeit implementiert, kann nur begrüßt werden. Zwar sollte auch künftig wie dargelegt nicht die Schriftform des § 126 Abs. 1 BGB unbesehen angewendet werden, und der Gesetzgeber sollte dies auch in der Begründung klarstellen. Schließlich dürfte gerade das Einholen von Einwilligungen in elektronischer oder in Textform in der betrieblichen Praxis eher den Regelfall darstellen.^[55]

Doch selbst wenn der Gesetzgeber nicht klarstellend tätig wird, hat der Entwurf vorgesorgt: Schließlich soll mit § 26 Abs. 2 S. 3 BDSG-n.F. wiederum ein Abweichen von der Schriftlichkeit im Falle des Vorliegens besonderer Umstände zulässig sein. Ob diese Ausnahme von der Ausnahme – gleichsam als legislatorisches Überdruckventil – erforderlich ist, um zu verhindern, dass der deutsche Gesetzgeber den ihm durch Art. 88 DS-GVO gesteckten Regelungsspielraum überschreitet, braucht hier nicht vertieft zu werden. Besonderheiten im Sinne des § 26 Abs. 2 S. 3 BDSG-n.F. könnten sich gegenüber der allgemeinen Regelung in Art. 7 DS-GVO jedenfalls auch aus den für Beschäftigungsverhältnisse insgesamt spezifischen Umständen ergeben.^[56] Es kommt also auf eine Gesamtbetrachtung des Beschäftigungsverhältnisses an. Ein Beschäftigter, der vollständig von zuhause aus am PC arbeitet und keinerlei Schriftverkehr mit seinem Arbeitgeber pflegt, wird eine Einwilligung sicherlich via EMail erklären können und muss hierfür nicht einen Brief frankieren und zum Arbeitgeber schicken. Alles andere wäre nicht nur praxisfern, sondern widerspräche auch den Zielen des Schriftformgebotes. Entsprechendes gilt für einen Bewerber, der sich in einem vollständig online durchzuführenden Bewerbungsprozess auf eine Stelle bewirbt.

VI. Von der Schriftlichkeit zur Nachweispflicht

Die Evolution des Datenschutzrechts geht mit der DSGVO unaufhaltsam weiter und bringt für Einwilligungen eine praxisgerechte Lösung. Mit Fokussierung auf die Nachweisfunktion wird mit Art. 7 Abs. 1 DS-GVO eine Nachweispflicht implementiert, ohne dass eine Einwilligung allein aufgrund mangelnder Schriftlichkeit unwirksam ist. Bis dahin wird im Rahmen von § 4a Abs. 1 S. 3 BDSG der Streit weitergehen, ob Schriftlichkeit die Schriftform des § 126 Abs.1 BGB meint. Doch auch danach wird jedenfalls dem datenschutzrechtlich aktiven Arbeitsrechtler mit Geltung des § 26 Abs. 2 BDSG-n.F. dieser Streit erhalten bleiben – Ende offen.

_{[1] MüKomm/Einsele, BGB, 5. Aufl. 2006, § 125 Rn. 8; Staudinger/Hertel, BGB, Neub. 2004, § 125 Rn. 35; Larenz/Wolf, BGB AT, 9. Aufl. 2004, § 27 Rn. 4; Bamberger/Roth/Wendtland, BGB, Stand 2010, § 125 Rn. 1.}

_{[2] MüKomm/Einsele, BGB, § 125 Rn. 9; Larenz/Wolf, BGB AT, 9. Aufl. 2004, § 27 Rn. 4.}

_{[3] MüKomm/Einsele, BGB, § 125 Rn. 9.}

_{[4] Mugdan, Materialien zum BGB, Nachdruck 1899, Bd. 1, S. 451 Rn. 179: „Die Notwendigkeit der Beobachtung einer Form ruft bei den Beteiligten eine geschäftsmäßige Stimmung hervor, weckt das juristische Bewusstsein, fordert zu besonnenen Überlegungen heraus und gewährleistet die Ernstlichkeit der gefassten Entschließung. Die beobachtete Form ferner stellt den rechtlichen Charakter der Handlung klar, dient, gleich dem Gepräge einer Münze, als Stempel des fertigen juristischen Willens und setzt die Vollendung des Rechtsakts außer Zweifel. Die beobachtete Form sichert endlich den Beweis des Rechtsgeschäftes seinem Bestande und Inhalte nach für alle Zeit; sie führt auch zur Verminderung oder doch zur Abkürzung und Vereinfachung der Prozesse.“}

_{[5] V. Ihering, Geist des römischen Rechts auf den verschiedenen Stufen seiner Entwicklung, 4. Aufl. 1894, Teil 2 Abt. 1 S. 471.}

_{[6] V. Ihering, a.A.O., S. 472; v. Savigny, System des heutigen römischen Rechts, 1840, Bd. 1 S. 219; dazu: Hagen, DNotZ 2010, 644.}

_{[7] Flume, BGB AT, 4. Aufl. 1992, Bd. 2 § 15, S. 246; Larenz/Wolf, BGB AT, 9. Aufl. 2004, § 27 Rn. 3.}

_{[8] Larenz/Wolf, BGB AT, 9. Aufl. 2004, § 27 Rn. 32.}

_{[9] Staudinger/Hertel, BGB, Neub. 2004, § 126 Rn. 108; Larenz/Wolf, BGB AT, 9. Aufl. 2004, § 27 Rn. 32; Spindler/Schuster/Spindler/ Weber, Recht der elektronischen Medien, 2008, § 126 BGB Rn. 2; Bamberger/Roth/Wendtland, BGB, Stand 2010, § 126 Rn. 3.}

_{[10] D/K/W/W/Däubler, BDSG, 3. Aufl. 2009, § 4a Rn. 11; Gola/Schomerus, BDSG, 10. Aufl. 2010, § 4a Rn. 13; Simitis/Simitis, BDSG, 6. Aufl. 2006, § 4a Rn. 33; Taeger/Gabel/Taeger, BDSG, 2010, § 4a Rn. 32; ErfK/Wank, 11. Aufl. 2011, § 4a BDSG Rn. 3.}

_{[11] Allein zur Pflicht zur Hervorhebung OLG Koblenz, Urteil vom 26. März 2014 – 9 U 1116/13, Rn. 58. § 126 BGB offenbar für anwendbar hält AG Elmshorn, Urt. v. 25.04.2005 – 49 C 54/05, Juris Rn. 37, jedoch ohne Begründung.}

_{[12] Gola/Schomerus, BDSG, 10. Aufl. 2010, § 11 Rn. 17; D/K/W/W/ Wedde, BDSG, 3. Aufl. 2009, § 11 Rn. 32; Simitis/Walz, BDSG, 6. Aufl. 2006, § 11 Rn. 49ff.}

_{[13] So Thüsing, Arbeitnehmerdatenschutz und Compliance, 2010, Rn. 123.}

_{[14] BVerwG v. 25.11.1970 – IV C 119/68, NJW 1971, 1054; RG v. 27.6.1910 – VI 297/08, RGZ 74, 69 (70); MüKomm/Einsele, BGB, 5. Aufl. 2006, § 126 Rn. 3; Staudinger/Hertel, BGB, Neub. 2004, § 126 Rn. 7; Bamberger/Roth/Wendtland, BGB, Stand 2010, § 126 Rn. 1.}

_{[15] BVerwG v. 25.11.1970 – IV C 119/68, NJW 1971, 1054; MüKomm/ Einsele, BGB, 5. Aufl. 2006, § 126 Rn. 5; Staudinger/Hertel, BGB, Neub. 2004, § 126 Rn. 11.}

_{[16] Bamberger/Roth/Wendtland, BGB, 41. Ed. (01.11.2016), § 126 Rn. 1 m.w.N.}

_{[17] D/K/W/W/Weichert, BDSG, 3. Aufl. 2009, § 1 Rn. 5}

_{[18] Simitis/Simitis, BDSG, 6. Aufl. 2006, § 4a Rn. 9.}

_{[19] Medicus, BGB AT, 10. Aufl. 2010, Rn. 195 ff.; Larenz/Wolf, BGB AT, 9. Aufl. 2004, § 22 Rn. 14.}

_{[20] BAG. v. 11.10.2000 – 5 AZR 313/99, NJW 2001, 989 m.w.N.}

_{[21] BAG v. 11.06.2002 – 1 ABR 43/01, NJW 2003, 843 (844).}

_{[22] Däubler, Gläserne Belegschaften, 5. Aufl. 2010, Rn. 138; Simitis/Simitis, BDSG, 6. Aufl. 2006, § 4a Rn. 20; ErfK/Wank, 11. Aufl. 2011, § 4a BDSG, Rn. 1.}

_{[23] BAG v. 11.06.2002 – 1 ABR 43/01, NJW 2003, 843 (844); a.A. MüKomm/Einsele, BGB, 5. Aufl. 2006, § 126 Rn. 4; Röger, NJW 2004, 1764; Ulrici, NJW 2003, 2053.}

_{[24] BAG v. 11.6.2002 – 1 ABR 43/01, NJW 2003, 843 (844).}

_{[25] Köhler, AcP 182 (1982), 126 (151)}

_{[26] So etwa Plath/Plath, BDSG/DSGVO, 2. Aufl. 2017, § 4a BDSG Rn. 14.}

_{[27] So etwa Plath/Plath, BDSG/DSGVO, 2. Aufl. 2017, § 4a BDSG Rn. 14.}

_{[28] So jedenfalls auch Wybitul: Der neue Beschäftigtendatenschutz nach § 26 BDSG und Art. 88 DSGVO, NZA 2017, 413, 417.}

_{[29] EuGH v. 29.04.1982 – Rs. C-66/81, Slg. 1982, 1363 Rn. 19 ff. – Butterreinfett.}

_{[30] Küttner/Griese, Personalbuch, 17. Aufl. 2010, Datenschutz Rn. 1; Hold, RDV 2006, 249 (251); MüHdbArbR/Reichold, 3. Aufl. 2009, § 88 Rn. 1.}

_{[31] Hoeren/Sieber/Helfrich, Multimedia-Recht, 22. Aufl. 2009, Teil 16.1 Rn. 1.}

_{[32] Vgl. dazu Franzen, RdA 2010, 257 (261).}

_{[33] BR-Drucks. 535/10, S. 24.}

_{[34] Vgl. dazu ausführlich Gotthardt/Beck, NZA 2002, 876 (879).}

_{[35] BR-Drucks. 14/7769, S. 20}

_{[36] Erwägungsgrund 30 der EG-Datenschutz-Richtlinie 95/46/EG.}

_{[37] Gotthardt/Beck, NZA 2002, 876 (879).}

_{[38] BT-Drucks. 14/4987, S. 18}

_{[39] Gotthardt/Beck, NZA 2002, 876 (879).}

_{[40] BT-Drucks. 14/4987, S. 18.}

_{[41] Roßnagel/Abel, Hdb. Datenschutzrecht, 2003, Kap. 2.7 Rn. 45; D/K/ W/W, BDSG, 3. Aufl. 2009, Einl. Rn. 82; Taeger/Gabel/Taeger/ Schmidt, BDSG, Einführung, Rn. 34.}

_{[42] Wie dies künftig auch die DS-GVO regelt, s. unten IV}

_{[43] Buchner, Informationelle Selbstbestimmung im Privatrecht, 2006, S. 231; Gola/Schomerus, BDSG, 10. Aufl. 2010, § 4a Rn. 2; Schack, AcP 195 (1995), 595 (597).}

_{[44] Simitis/Simitis, BDSG, 6. Aufl. 2006, § 4a Rn. 2.}

_{[45] D/K/W/W/Däubler, BDSG, 3. Aufl. 2009, § 4a Rn. 5; Gola/Schomerus, BDSG, 10. Aufl. 2010, § 4a Rn. 10; Simitis/Simitis, BDSG, 6. Aufl. 2006, § 4a Rn. 20; ErfK/Wank, 11. Aufl. 2011, § 4a BDSG Rn. 1}

_{[46] D/K/W/W/Däubler, BDSG, 3. Aufl. 2009, § 4a Rn. 23; Gola/Schomerus, BDSG, 10. Aufl. 2010, § 4a Rn. 9; Taeger/Gabel/Taeger, BDSG, 2010, § 4a Rn. 49.}

_{[47] D/K/W/W/Däubler, BDSG, 3. Aufl. 2009, § 4a Rn. 24-26; Schaar, MMR 2001, 641; Simitis/Simitis, BDSG, 6. Aufl. 2006, § 4a Rn. 63; Tinnefeld, NJW 2001, 3081.}

_{[48] Taeger/Gabel/Taeger, BDSG, 2010, § 4a Rn. 4; v. Uckermann, DuD 1979, 163.}

_{[49] Mugdan, Materialien zum BGB, Nachdruck 1899, Bd. 1, S. 451 Rn. 179.}

_{[50] Plath/Plath, BDSG/DSGVO, Art. 7 DSGVO Rn. 3.}

_{[51] Paal/Pauly, DSGVO, 1. Aufl. 2017, Art. 7 Rn. 6.}

_{[52] Vgl. Behling, ZIP 2017, 697.}

_{[53] Ausführlich Schmidt, Datenschutz für „Beschäftigte“, 2016, S. 298.}

_{[54] Der schon vor dem Inkrafttreten der DS-GVO unionsrechtlich unzulässig war (Forst, RDV 2010, 150 ff.) und es auch in Zukunft sein wird, weil Art. 88 DS-GVO es den Mitgliedstaaten nicht erlaubt, die allgemeinen Grundsätze (wie Art. 7 DS-GVO) im Beschäftigungsverhältnis gänzlich abzubedingen.}

_{[55] Wybitul, NZA 2017, 413, 417.}

_{[56] Wybitul, NZA 2017, 413, 417.}