Aufsatz : Anforderungen an datenschutzrechtliche Einwilligungen im Rahmen internationaler Datenübermittlungen : aus der RDV 4/2024, Seite 208 bis 211

I. Kernanforderungen nach Art. 4 Nr. 11 DS-GVO

Die in Art. 4 Nr. 11 DS-GVO enthaltene Definition gibt im Hinblick auf die Wirksamkeitsvoraussetzungen der datenschutzrechtlichen Einwilligung einen Anforderungskatalog vor, der vom Verantwortlichen in der Praxis wie eine Art „Checkliste“ genutzt werden kann. Danach muss die Einwilligung „von der betroffenen Person“ „freiwillig“, „für den bestimmten Fall“, „in informierter Weise“ und „unmissverständlich“ abgegeben worden sein und entweder „in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“ erfolgen. Wird dieser Anforderungskatalog, der in gewisser Weise die Kernanforderungen an die datenschutzrechtliche Einwilligung aufführt^[1] , vom Verantwortlichen nicht vollumfänglich erfüllt^[2] , ist schon begrifflich nicht von einer Einwilligung auszugehen und die auf eine solch vermeintlich gestützte Erlaubnis veranlasste Datenverarbeitung damit rechtswidrig.^[3]

II. Flankierende Anforderungen nach Art. 7 DS-GVO

Die vorstehend aufgeführten Kernanforderungen werden flankiert von den Anforderungen, die sich im Einzelnen aus Art. 7 DS-GVO ableiten lassen.

1. Nachweispflicht

Gem. Art.  7 Abs.  1 DS-GVO „muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Kann der Verantwortliche einen Nachweis nicht erbringen, erfolgt die Verarbeitung der betreffenden personenbezogenen Daten nicht „auf rechtmäßige Weise“.^[4] Rein systematisch betrachtet handelt es sich bei der in Art. 7 Abs. 1 DS-GVO enthaltenen Nachweispflicht allerdings nicht um eine Voraussetzung für die Wirksamkeit der Einwilligung.^[5] Denn kann der Verantwortliche nicht nachweisen, dass er von der betroffenen Person eine Einwilligung erhalten hat, erfolgt die Verarbeitung ohne „eine Bedingung“ i.S.d. Art.  6 Abs.  1 DS-GVO.^[6] Insofern wäre dann auch unerheblich, ob die (nicht nachgewiesene) Einwilligung etwa die Kernanforderungen erfüllt, es sich mithin überhaupt um eine Einwilligung i.S.d. Art. 4 Nr. 11 DS-GVO gehandelt hat.^[7]

2. Ersuchen um eine Einwilligung im Kontext anderer Sachverhalte

Erfolgt eine Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, muss gem. Art. 7 Abs. 2 S. 1 DS-GVO „das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist.“ Von Art. 7 Abs. 2 S. 2 DS-GVO wird zudem konstatiert, dass „Teile der Erklärung“ dann nicht verbindlich sind, wenn sie einen Verstoß gegen die DS-GVO darstellen.^[8]

3. Widerrufsmöglichkeit

Aus dem Prinzip der Selbstbestimmung^[9] respektive dem Leitprinzip der selbstbestimmten Entscheidung eines Individuums^[10] folgt, dass die betroffene Person die Möglichkeit haben muss, eine einmal erteilte Einwilligung jederzeit widerrufen zu können.^[11] War die jederzeitige Widerrufsmöglichkeit schon de lege abrogata anerkannt, wenngleich die Datenschutzrichtlinie und einige Datenschutzgesetze der Mitgliedstaaten hierzu selbst keine Aussage trafen^[12], ist mit der Regelung des Art. 7 Abs. 3 S. 1 DS-GVO eine solche Möglichkeit nun ausdrücklich kodifiziert. Ob das Widerrufsrecht der betroffenen Person jedoch ausgeschlossen oder doch zumindest begrenzt sein könnte, bleibt allerdings innerhalb der datenschutzrechtlichen Literatur auch unter dem Regime der DS-GVO umstritten.^[13]

Die Erklärung des Widerrufs lässt die Datenverarbeitung ex nunc unwirksam werden. Dies ergibt sich unmittelbar aus Art.  7 Abs.  3 S.  2 DS-GVO, wonach durch den Widerruf der Einwilligung die Rechtmäßigkeit der auf dieser Einwilligung erfolgten Verarbeitung bis zum Widerruf nicht berührt wird.^[14] Schließlich ist die betroffene Person nach Art. 7 Abs. 3 S. 3 DS-GVO vor Abgabe der Einwilligung sowohl über die jederzeitige Widerrufbarkeit der Einwilligung in Kenntnis zu setzen als auch darüber, dass durch den Widerruf die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht berührt wird.^[15] An die Form der Inkenntnissetzung stellt die DS-GVO indes keine Anforderungen. Demzufolge könnte der Verantwortliche die betroffene Person etwa auch mündlich über die in Art. 7 Abs. 3 S. 1 und S. 2 DS-GVO enthaltenen Vorgaben in Kenntnis setzen.^[16] Da die sich aus Art. 7 Abs. 1 DS-GVO ergebende Nachweispflicht auf die Pflicht zur Inkenntnissetzung nach Maßgabe des Art. 7 Abs. 3 DS-GVO richtigerweise Anwendung findet^[17], ist dem Verantwortlichen anzuraten, die betroffene Person in einer „vorlegbaren“ Form in Kenntnis zu setzen.^[18]

4. Freiwilligkeit und „Koppelungsverbot“

Gem. Art.  7 Abs.  4 DS-GVO muss „[b]ei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, […] dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“ Art. 7 Abs. 4 DS-GVO ist eine Norm zur Konkretisierung des sich aus Art. 5 Abs. 1 lit. a), 2. Variante DS-GVO ergebenden Verarbeitungsgrundsatzes nach „Treu und Glauben“.^[19] Art. 7 Abs. 4 DS-GVO beinhaltet keine Kriterien zur Beurteilung der Freiwilligkeit einer Einwilligung, sondern verpflichtet Verantwortliche im Sinne einer Handlungsanweisung, die sich aus den Erwägungsgründen (ErwG) 42 S. 5 und 43 DS-GVO ergebenden Freiwilligkeitskriterien entsprechend den tatsächlichen Gegebenheiten zu berücksichtigen.^[20] Art. 7 Abs. 4 DS-GVO weist das Freiwilligkeitskriterium nach ErwG 43 S. 2, 2. HS DS-GVO dabei lediglich als Regelbeispiel auf.^[21] Diesbezüglich ist zudem zu beachten, dass die in den ErwG 42 S. 5 und 43 DS-GVO aufgeführten Freiwilligkeitskriterien voneinander unabhängig sind und nicht miteinander kombiniert oder verbunden werden können.^[22]

Soweit schließlich von der überwiegenden Mehrheit der Literatur und vereinzelt auch der Rechtsprechung in Art.  7 Abs. 4 DS-GVO ein sog. Koppelungsverbot gesehen wird, kann sich dieser Meinung indes nicht angeschlossen werden.^[23]

III. Kontextspezifische Anforderungen nach Art. 49 Abs. 1 UAbs. 1 lit. a) DS-GVO

Die sich aus Art.  4 Nr.  11 DS-GVO ergebenden Kernanforderungen an eine datenschutzrechtliche Einwilligung und die gem. Art. 7 DS-GVO flankierenden Vorgaben für eine solche werden im Kontext bestimmter Verarbeitungsszenarien von der DS-GVO mit weiteren Anforderungen untermauert. Diese ergeben sich im Einzelnen aus Art. 8 Abs. 1 und Abs. 2, Art. 9 Abs. 2 lit. a), 1. HS, 22 Abs. 2 lit. c) und aus Art. 49 Abs. 1 UAbs. 1 lit. a) DS-GVO^.[24]

Gem. Art.  49 Abs.  1 UAbs.  1 lit.  a) DS-GVO ist eine Übermittlung oder „eine Reihe von Übermittlungen“ personenbezogener Daten an ein Drittland^[25] oder an eine internationale Organisation^[26] ohne dem Vorliegen eines Angemessenheitsbeschlusses nach Art. 45 Abs. 3 DS-GVO oder dem Bestehen geeigneter Garantien nach Art. 46 DS-GVO, einschließlich verbindlicher interner Datenschutzvorschriften nach Art.  47 DS-GVO, zulässig^[27], sofern die betroffene Person in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt hat, nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde. Auch hierbei handelt es sich um eine Wirksamkeitsvoraussetzung, deren Nichtbeachtung zur Unwirksamkeit der datenschutzrechtlichen Einwilligung führt.^[28]

1. Häufigkeit

Im Anwendungsbereich des Art. 49 DS-GVO ist umstritten, ob es sich bei dieser Norm um eine Ausnahmeregelung handelt, die restriktiv auszulegen ist und mittels derer demzufolge nur „gelegentliche“^[29] bzw. „nicht wiederholte“^[30] Übermittlungen abgebildet werden können, oder ob sich ein solcher Ausnahmecharakter nur auf die in Art. 49 Abs. 1 UAbs. 2 DS-GVO genannten Fallgruppen bezieht und im Anwendungsbereich des Art. 49 Abs. 1 UAbs. 1 DS-GVO damit auch wiederkehrende respektive regelmäßige Datenübermittlungen ermöglicht werden können.

Auch wenn im Rahmen des vorliegenden Beitrags auf die hierzu vertretenen Meinungen im Einzelnen nicht weiter eingegangen werden soll^[31], besteht nach hier vertretener Auffassung im Hinblick auf Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation auf der Grundlage einer Einwilligung nach Art. 49 Abs. 1 UAbs. 1 lit. a) DS-GVO sehr wohl die Möglichkeit zu solch wiederkehrenden respektive regelmäßigen Datenübermittlun-gen.^[32] Hierfür spricht zum einen der in Art. 49 Abs. 1 UAbs. 1 DS-GVO enthaltene Hinweis auf „eine Reihe von Übermittlungen“, womit expressis verbis vom Unionsrechtsgeber zum Ausdruck gebracht wird, dass die unter Art. 49 Abs. UAbs. 1 lit. a) bis lit. g) DS-GVO aufgelisteten Ausnahmen nicht nur einzelne, sondern auch regelmäßig erfolgende Datenübermittlungen erfassen.^[33] Diese These wird gestützt durch den Wortlaut des Art. 49 Abs. 1 UAbs. 2 S. 2 DS-GVO, wonach „keine der Ausnahmen für einen bestimmten Fall gemäß dem ersten UAbs. anwendbar“ sein dürfen, also mithin die in Art. 49 Abs. UAbs. 1 lit.  a) bis lit.  g) DS-GVO aufgelisteten Ausnahmen überhaupt nicht einschlägig sind.^[34] Zum anderen spricht für solch wiederkehrende respektive regelmäßige Datenübermittlungen aber auch die Tatsache, dass das europäische Datenschutzrecht auf dem „Leitprinzip einer selbstbestimmten Entscheidung eines Individuums“ beruht, „das selbst über die Nutzung und Verarbeitung seiner Daten entscheiden kann.“^[35] Insofern muss es der betroffenen Person ermöglicht werden, selbstbestimmt und freiwillig auch Datenübermittlungen an ein Drittland oder an eine internationale Organisation ohne dem Vorliegen eines Angemessenheitsbeschlusses nach Art.  45 Abs. 3 DS-GVO oder dem Bestehen geeigneter Garantien nach Art. 46 DS-GVO, einschließlich verbindlicher interner Datenschutzvorschriften nach Art. 47 DS-GVO auf der Grundlage einer datenschutzrechtlichen Einwilligung zu gestatten.^[36] Alles andere würde diesem „Leitprinzip“ zuwiderlaufen.^[37]

2. Ausdrücklichkeit

Dies bedingt freilich, dass nicht nur die sich aus Art. 4 Nr. 11 DS-GVO ergebenden Kernanforderungen und die flankierenden Vorgaben des Art.  7 DS-GVO vom Verantwortlichen umgesetzt werden, sondern auch, dass die betreffende Einwilligung von der betroffenen Person „ausdrücklich“ erteilt wurde. Die Anforderungen an die „Ausdrücklichkeit“ von Einwilligungen in diesem Verarbeitungskontext sind dabei nicht anders zu beurteilen als für Verarbeitungen besonderer Kategorien personenbezogener Daten auf Basis einer Einwilligung nach Maßgabe des Art.  9 Abs.  2 lit.  a), 1. HS DS-GVO und im Anwendungsbereich des Art.  22 DS-GVO.^[38] Im Hinblick auf die Frage nach dem Umfang der „Ausdrücklichkeit“ respektive auf die genaue Umsetzung dieser Anforderung sind die Meinungen in der datenschutzrechtlichen Literatur sowie des EDSA recht divergent.^[39] Letztendlich ist im Hinblick auf den Umfang und die Umsetzung der geforderten „Ausdrücklichkeit“ auf den jeweils konkreten Einzelfall abzustellen, sodass es mithin keine schematische Lösung geben kann. Gleichwohl ist die „Ausdrücklichkeit“ im Zusammenhang mit der Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation Wirksamkeitsvoraussetzung für die datenschutzrechtliche Einwilligung i.S.d. Art. 4 Nr. 11 DS-GVO und muss demzufolge vom Verantwortlichen nach Art. 7 Abs. 1 DS-GVO auch nachgewiesen werden.^[40]

3. Risikohinweis

Im Kontext des Art. 49 Abs. 1 UAbs. 1 lit. a) DS-GVO ist allerdings neben der „Ausdrücklichkeit“ vom Verantwortlichen zu beachten, dass die betroffene Person auch „über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde.“ Die diesbezüglich bestehenden möglichen Risiken muss der Verantwortliche aber erst einmal ermitteln, bevor er diese dann der betroffenen Person verständlich vermitteln kann.^[41] Dies bedingt auf Seiten des Verantwortlichen eine genaue Analyse der Sach- und Rechtslage für das betreffende Drittland^[42], wie sie namentlich der EDSA im Anhang 3 seiner Empfehlungen 01/2020 dargestellt hat^[43] oder wie sie etwa in Klausel 14 der sog. Standardvertragsklauseln^[44] beschrieben wird.^[45] Eine „abstrakte Unterrichtung“ der betroffenen Person über mögliche Risiken, wie dies zum Teil in der Literatur vorgeschlagen wird^[46], kommt demzufolge nicht in Betracht. Unabhängig von einer „Ausdrücklichkeit“ würde eine „abstrakte Unterrichtung“ bereits den Kernanforderungen des Art.  4 Nr.  11 DS-GVO zuwiderlaufen und damit eine Einwilligung schon gar nicht entstehen lassen.^[47]

Kann der Verantwortliche eine solche Analyse der Sachund Rechtslage, aus welchen Gründen auch immer, nicht bewerkstelligen und demzufolge der betroffenen Person die bestehenden möglichen Risiken nicht verständlich vermitteln, kann er eine Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation ohne dem Vorliegen eines Angemessenheitsbeschlusses nach Art.  45 Abs.  3 DS-GVO oder dem Bestehen geeigneter Garantien nach Art 46 DS-GVO, einschließlich verbindlicher interner Datenschutzvorschriften nach Art.  47 DS-GVO, auf der Grundlage einer datenschutzrechtlichen Einwilligung nicht vornehmen. Vor dem Hintergrund, dass das durch die DS-GVO gewährleistete Schutzniveau für Datenübermittlungen im Anwendungsbereich des Kapitels V der DS-GVO für alle Bestimmungen dieses Kapitels gleichermaßen gilt^[48] und damit zwangsläufig auch für Art. 49 DS-GVO, kann es demzufolge keinen Unterschied machen, ob der Verantwortliche bestehende mögliche Risiken für die betroffene Person im Zusammenhang mit einer Einwilligung ermittelt oder im Zusammenhang mit anderen im Kapitel V der DS-GVO genannten Übermittlungsinstrumenten.^[49]

IV. Fazit

In der Kette der datenschutzrechtlichen Rechtsgrundlagen ist die Einwilligung das schwächste Glied. Nicht nur allein vor dem Hintergrund eines rechtlich nicht durchsetzbaren Mitwirkungserfordernisses der betroffenen Person, sondern vielmehr schon aufgrund der Tatsache, dass das „Damoklesschwert des Widerrufs“ persistent über jeder Verarbeitung von Verantwortlichen schwebt, die auf der Grundlage einer Einwilligung veranlasst sind. Lediglich der genaue Zeitpunkt des Widerrufs ist ihnen unbekannt. Hinzu kommen umfangreiche Anforderungen an die Wirksamkeit einer datenschutzrechtlichen Einwilligung, die, aus welchen Gründen auch immer, in der Praxis häufig nicht akkurat umgesetzt werden (können). Soweit dabei Datenübermittlungen an ein Drittland oder an eine internationale Organisation auf der Grundlage einer Einwilligung erfolgen sollen, zeigt sich, dass der Aufwand, den Verantwortliche hierbei betreiben müssen, einer Herkulesaufgabe gleichkommen kann.

DatenschutzGrundverordnung“, 2024, siehe weitere Einzelheiten unter https://d-nb.info/1315781271.

_{[1] Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 12.}

_{[2] Siehe zu den Voraussetzungen im Einzelnen die Ausführungen von LiedkeDeutscher, Die datenschutzrechtliche Einwilligung nach der DatenschutzGrundverordnung, 2024, S. 13 ff. m.w.N.}

_{[3] Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 13; Klement, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 4 Nr. 11 Rn. 1; Ernst, in: Paal/Pauly, DS-GVO, 3. Aufl. 2021, Art. 4 Rn. 62. Vgl. auch GA Szpunar, SchlA v. 04.03.2020 – RS. C-61/19 (Orange România), ECLI:EU:C:2020:158 Rn. 37.}

_{[4] Vgl. Taeger, in: Taeger/Gabel, DS-GVO, 4. Aufl. 2022, Art. 7 Rn. 20.}

_{[5] Kastelitz, in: Knyrim, DatKomm, 40. Lfg. Juli 2020, DS-GVO Art. 7 Rn. 13; Scheurer, Spielerisch selbstbestimmt, 2019, S. 202. Im Ergebnis ebenso Gola/Heckmann/Schulz, DS-GVO, 3. Aufl. 2022, Art. 7 Rn. 64 und auch Klement, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 7 Rn. 45; a. A. VG Saarlouis, Urt. v. 29.10.2019 – 1 K 732/19, K&R 2020, 387; OVG Saarland, Beschl. v. 16.02.2021 – 2 A 355/19, K&R 2021, 290.}

_{[6] Im Ergebnis ebenso Heckmann/Paschke, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 7 Rn. 74.}

_{[7] Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 185.}

_{[8] Siehe zu den Anforderungen des Art. 7 Abs. 2 DS-GVO im Einzelnen die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 195 ff. m.w.N.}

_{[9] Vgl. hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 5 ff.}

_{[10] GA Szpunar, SchlA v. 04.03.2020 – RS.  C-61/19 (Orange România), ECLI:EU:C:2020:158 Rn. 37.}

_{[11] Buchner/Kühling, in: Kühling/Buchner, DS-GVO, 4. Aufl.  2024, Art.  7 Rn. 34; Hacker, Datenprivatrecht, 2020, S.  206; Jahnel/Pallwein-Prettner, Datenschutzrecht, 3. Aufl. 2021, S. 75; Pohl, Die datenschutzrechtliche Einwilligung im Spannungsfeld von hoheitlicher Regulierung und individueller Selbstbestimmung, 2019, S. 163}

_{[12] Buchner, in: Tinnefeld/Buchner/Petri/Hof, Einführung in das Datenschutzrecht, 7. Aufl. 2020, S. 430 Rn. 74; Ehmann/Helfrich, EG-Datenschutzrichtlinie, 1999, Art. 2 Rn. 72; Kosta, Consent in European Data Protection Law, 2013, S. 251.}

_{[13] Siehe hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S.  382 ff. m.w.N.}

_{[14] Gierschmann, in: Gierschmann/Schlender/Stentzel/Veil, DS-GVO, 2018, Art. 7 Rn. 120}

_{[15] Vgl. Gierschmann, in: Gierschmann/Schlender/Stentzel/Veil, DS-GVO, 2018, Art.  7 Rn. 121; Klement, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 7 Rn. 94; Taeger, in: Taeger/Gabel, DS-GVO, 4. Aufl. 2022, Art.  7 Rn. 84. Im Ergebnis wohl auch Diregger, Handbuch Datenschutzrecht, 2018, S. 278.}

_{[16] Gierschmann, in: Gierschmann/Schlender/Stentzel/Veil, DS-GVO, 2018, Art. 7 Rn. 122.}

_{[17] A. A. Heckmann/Paschke, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 7 Rn. 97.}

_{[18] In diese Richtung auch Taeger, in: Taeger/Gabel, DS-GVO, 4. Aufl. 2022, Art. 7 Rn. 86.}

_{[19] Siehe hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 39 ff. m.w.N.}

_{[20] Siehe hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 39 ff. m.w.N.}

_{[21] Siehe hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 51 ff. m.w.N.}

_{[22] Siehe hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 74 ff. m.w.N.}

_{[23] Siehe hierzu die Ausführungen von Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 324 ff. m.w.N.}

_{[24] Auf die Anforderungen nach Art. 8 Abs. 1 und Abs. 2, 9 Abs. 2 lit. a), 1. HS und Art. 22 Abs. 2 lit. c) DS-GVO wird vorliegend nicht weiter eingegangen. Siehe hierzu Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 271 ff. m.w.N.}

_{[25] Siehe zu dem Begriff „Drittland“ statt vieler nur Knyrim, in: Knyrim, DatKomm, 67. Lfg. Oktober 2023, DS-GVO Art. 44 Rn. 20.}

_{[26] Siehe hierzu die Legaldefinition in Art. 4 Nr. 26 DS-GVO.}

_{[27] Zur sog. Zwei-Stufen-Prüfung im Rahmen von Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation im Allgemeinen siehe statt vieler nur Meyer/Schulte/Pachinger, Datenschutz, 2019, Kap. 8 Rn. 4.}

_{[28] Ambrock/Karg, ZD 2017, S. 154 (157).}

_{[29] Vgl. insoweit ErwG 111 S. 1 DS-GVO.}

_{[30] Vgl. insoweit Art. 49 Abs. 1 UAbs. 2 S. 2 DS-GVO.}

_{[31] Siehe hierzu namentlich die Ausführungen von Brüggemann, PinG 2023, S. 35 (37); Kremer/Christmann-Thoma/Kamm/Matejek/Schneider, CR 2021, S. 784 (786 ff.) sowie von Leibold/Roth, ZD-Aktuell 2021, 05247, alle jeweils m.w.N}

_{[32] A. A. etwa Roßnagel, DuD 2022, S. 545 (547) und Towfigh/Ulrich, in: Sydow/ Marsch, DS-GVO, 3. Aufl. 2022; Art. 49 Rn. 8.}

_{[33] So und mit Recht Jahnel, in: Jahnel, DS-GVO, 2021, Art.  49 Rn. 3. Im Ergebnis wohl ebenso Kremer/Christmann-Thoma/Kamm/Matejek/Schneider, CR 2021, S. 784 (791); Leibold/Roth, ZD-Aktuell 2021, 05247; Schröder, DSB 2024, S. 92 (93); Wieczorek, in: Specht/Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, 2019, Teil A § 7 Rn. 70. Dieser Aspekt wird namentlich vom EDSA, Leitlinien 2/2018, S. 7 ff. gänzlich ignoriert}

_{[34] 4 Im Ergebnis ebenso Kühling/Klar/Sackmann, Datenschutzrecht, 5. Aufl. 2021, Rn. 599; Leibold/Roth, ZD-Aktuell 2021, 05247; Schuster, CR 2023, S. 732 (737).}

_{[35] GA Szpunar, SchlA v. 04.03.2020 – RS.  C-61/19 (Orange România), ECLI:EU:C:2020:158 Rn. 37}

_{[36] In diese Richtung wohl auch VGH Kassel, Beschl. v. 17.01.2022 – 10 B 2486/21, BeckRS 2022, 790 Rn. 12. Vgl. ferner von dem Bussche/Raguse, in: Plath, DS-GVO, 4. Aufl. 2023, Art. 49 Rn. 8.}

_{[37] Im Ergebnis ebenso Laue/Nink/Kremer, in: Laue/Nink/Kremer, Datenschutzrecht in der betrieblichen Praxis, 3. Aufl. 2024, § 6 Rn. 43; Leibold/Roth, ZDAktuell 2021, 05247.}

_{[38] Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 281.}

_{[39] Siehe hierzu die Darstellungen bei Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S.  276 ff. m.w.N.}

_{[40] Vgl. Buchner/Schwichtenberg, GuP 2016, S. 218 (221); Schiff, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 9 Rn. 37 im Hinblick auf die Ausdrücklichkeit in Art. 9 Abs. 2 lit. a), 1. HS DS-GVO. A. A. aber Klement, in: Simitis/Hornung/ Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 7 Rn. 44}

_{[41] Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 281.}

_{[42] Vgl. BeckOK DatenschutzR/Lange/Filip, 47. Ed. 01.11.2021, DS-GVO Artt. 49 Rn. 6 ff.; Conrad/Siara, ZD 2021, S. 471 (475); Knyrim, in: Knyrim, DatKomm, 67. Lfg. Oktober 2023, DS-GVO Art. 44 Rn. 17.}

_{[43] Siehe EDSA, Empfehlungen 01/2020, S. 54, 55.}

_{[44] In der aktuellen deutschen Fassung abrufbar unter https://commission.europa.eu/document/download/e60b1cd4-d802-44d5-9cac-ddd3c943a5ef_de?filename=1_de_annexe_acte_autonome_cp_part1_v3.pdf}

_{[45] So bereits schon Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 281 f. Ähnlich auch Schröder, DSB 2024, S. 92 (94).}

_{[46] Etwa von Schröder, in: Kühling/Buchner, DS-GVO, 4. Aufl. 2024, Art. 49 Rn. 15.}

_{[47] Siehe hierzu Liedke-Deutscher, Die datenschutzrechtliche Einwilligung nach der Datenschutz-Grundverordnung, 2024, S. 281.}

_{[48] Vgl. EuGH, Urt. v. 16.07.2020 – RS. C-311/18 (Facebook Ireland und Schrems), ECLI:EU:C:2020:559 Rn. 92.}

_{[49] Vgl. bzgl. der sog. Standardvertragsklauseln EuGH, Urt. v. 16.07.2020 – RS. C-311/18 (Facebook Ireland und Schrems), ECLI:EU:C:2020:559 Rn. 133 ff.}