21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

6. Einwilligungen im Privatrechtsverkehr
Informationsaustausch und Datenverarbeitung im nicht öffentlichen Bereich
– im wirtschaftlichen und gesellschaftlichen Leben – sind zumeist eng verbunden
mit Verträgen und Geschäftsbeziehungen „unter rechtlich Gleichen“. Auch
die Einwilligung als rechtsgeschäftliche Erklärung unterliegt dieser Vorstellung
von Privatautonomie und Gleichstellung – eine Idealvorstellung, die in der Realität
an Grenzen stößt.
Das „Recht auf informationelle Selbstbestimmung entfaltet als Norm des
objektiven Rechts seinen Rechtsgehalt auch im Privatrecht“ (Bundesverfassungsgericht,
Beschluss vom 11.7.2007). Es wirkt im nicht öffentlichen Bereich
auf zweierlei Weise: Zum einen ist nach Art.1 Abs.3 GG bereits der Gesetzgeber
zivilrechtlicher Normen an die Grundrechte gebunden und muss bei
Grundrechtsgefährdungen Schutzgesetze erlassen. Dies ist der Grund für die
Datenschutzgesetze, hier für das BDSG, 3. Abschnitt. Zum anderen ist bei der
Auslegung von zivilrechtlichen Generalklauseln und unbestimmten Rechtsbegriffen
die Wertentscheidung der Verfassung, die in den Grundrechten zum
Ausdruck kommt, zu berücksichtigen (mittelbare Drittwirkung der Grundrechte).
Einwilligungen stehen nach dem Wortlaut des § 4 BDSG auch im nicht öffentlichen
Bereich gleichberechtigt neben den gesetzlichen Datenverarbeitungsermächtigungen
der §§ 28 ff. BDSG. Kann – anders als die grundrechtsgebundene
Verwaltung – ein Unternehmen deswegen beliebig wählen zwischen der
Berufung auf die gesetzliche Verarbeitungsbefugnis in § 28 BDSG und der Einholung
einer Einwilligung? Dies würde bedeuten, dass alle gesetzlichen Anforderungen
an die Datenverarbeitung – von der Zweckbestimmung und
-bindung über die Einschränkung der Zweckänderungstatbestände bis zur
Spezialregelung für Werbung und Markt- oder Meinungsforschung – disponibel
sind und über eine Einwilligung außer Kraft gesetzt werden können. Hinsichtlich
der Verarbeitung von besonders sensiblen Arten personenbezogener
Daten (z.B. zur Gesundheit) lässt der Gesetzgeber genau dies in § 28 Abs. 6
BDSG tatsächlich zu: Die gesetzlichen Datenverarbeitungs-Restriktionen gelten
nur, „soweit nicht der Betroffene nach Maßgabe des § 4a Abs.3 eingewilligt
hat“. In Bezug auf die weniger riskante „normale“ Verarbeitung personenbezogener
Daten kann dann nichts anderes gelten.
Steht eine individuelle Einwilligung demnach den gesetzlichen Schutzvorschriften
für den Betroffenen gleich, muss jedoch – auch wegen der mittelbaren
Drittwirkung der Grundrechte -sichergestellt werden, dass der vom Gesetzgeber
anerkannte Schutzbedarf der Betroffenen auf andere Weise berücksichtigt
wird. Dies kann nur über entsprechend hohe Anforderungen an eine
wirksame Einwilligung erfolgen. Die in § 4a BDSG genannten Bedingungen
– vor allem die „freie Entscheidung“ und die Hinweise auf den Verarbeitungszweck
– müssen so erfüllt werden, dass sich ein externer Schutz des Einwilli-
21. Tätigkeitsbericht 2006/2007 HmbDSB
13