Die Datenschutzkonferenz (DSK) hat in einem Kurzpapier (Nr. 20) mitgeteilt, welche Anforderungen an den Fortbestand alter Einwilligungen, die vor dem 24.05.2018 erteilt wurden, gestellt werden. Im Erwägungsgrund 171 DSGVO heisst es in Satz 3:

„Beruhen die Verarbeitungen auf einer Einwilligung gemäß der Richtlinie 95/46/EG, so ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entspricht, so dass der Verantwortliche die Verarbeitung nach dem Zeitpunkt der Anwendung der vorliegenden Verordnung fortsetzen kann.“

Im Beschluss vom 13/14.06.2016 hob die DSK noch hervor, dass die einmal freiwillig erteilte Einwilligung Bestand habe, wenn sie nicht unter Verstoß gegen das Kopplungsverbot und nicht von Minderjährigen erteilt wurde.

Im Kurzpapier Nr. 20 stellt sie nun klar, dass diese Einwilligung nicht nur dokumentiert sein muss, sondern es sich um eine informierte Einwilligung handeln muss:

„Erforderlich ist eine Willensbekundung für den bestimmten Fall, in informierter Weise und in unmissverständlicher Form (Art. 4 Nr. 11 DSG-VO), wobei die Anforderungen nach Art. 7 Abs. 2 DSGVO i. V. m. ErwGr. 32 und 42 DS-GVO zu beachten sind.“

Zur Wirksamkeit einer vorbestehenden Einwilligung muss die betroffene Person hinaus zum Zeitpunkt der Abgabe der Einwilligungserklärung die Informationen zur Verfügung gehabt haben, die zur Abgabe einer informierten Einwilligung notwendig sind. Nach ErwGr. 43 sind dies mindestens Informationen darüber, wer der Verantwortliche ist und für welche Zwecke die personenbezogenen Daten verarbeitet werden, so die DSK. Zudem muss der Verantwortliche den Widerruf ermöglichen und Informationen dazu bereithalten. Die Anforderungen an eine informierte Einwilligung decken sich in Teilen mit den Informationspflichten, die eine Einwilligung nach dem Stichtag voraus setzt. Die darüber hinausgehenden Informationspflichten müssen für die Fortgeltung bisher erteilter Einwilligungen hingegen grundsätzlich nicht erfüllt worden sein.

Damit muss der Verantwortliche bei alten Einwilligungen, die vor dem 24. Mai 2018 eingeholt wurden, erhebliche Dokumentationspflichten genügen, wenn er sich auf den Fortbestand der alten Einwilligung berufen will. Die DSK weist darauf hin, dass wenn der Nachweis nicht gelingt, die Verarbeitung der aufgrund der ungenügenden Einwilligung erhobenen Daten rechtswidrig und damit bußgeldbewehrt ist und auch Schadensersatzansprüchen der Betroffenen nach sich ziehen kann.