SCHLUSSANTRÄGE DES GENERALANWALTS
MACIEJ SZPUNAR
vom 4. März 2020(1)
Rechtssache C‑61/19
Orange România SA
gegen
Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
(Vorabentscheidungsersuchen des Tribunalul Bucureşti [Landgericht Bukarest, Rumänien])
„Vorlage zur Vorabentscheidung – Richtlinie 95/46/EG – Verordnung (EU) 2016/679 – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und freier Datenverkehr – Mobiltelekommunikationsdienste – Begriff der Einwilligung der betroffenen Person – Willensbekundung für den konkreten Fall und in Kenntnis der Sachlage – Einwilligungserklärung mittels Ankreuzkästchen – Beweislast“
1. Das vorliegende Vorabentscheidungsersuchen des Tribunalul Bucureşti (Landgericht Bukarest, Rumänien) ergeht in einem Rechtsstreit zwischen einem Anbieter von Telekommunikationsdiensten und einer nationalen Datenschutzbehörde über die Verpflichtungen dieses Anbieters bei der Anfertigung und Aufbewahrung einer Kopie eines Ausweisdokuments im Zusammenhang mit Vertragsverhandlungen mit Kunden.
2. Es gibt dem Gerichtshof Gelegenheit zur weiteren Klarstellung des Begriffs der „Einwilligung“ einer betroffenen Person, einem zentralen Begriff des Datenschutzrechts der Union, der letztlich im Grundrecht auf Datenschutz wurzelt. In diesem Zusammenhang sollte sich der Gerichtshof auch mit der Frage der Beweislast dafür befassen, ob die betroffene Person ihre Einwilligung erteilt hat.
Rechtlicher Rahmen
Unionsrecht
Richtlinie 95/46/EG
3. Nach Art. 2 Buchst. h der Richtlinie 95/46/EG(2) bezeichnet der Ausdruck „Einwilligung der betroffenen Person“ im Sinne dieser Richtlinie „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“.
4. Kapitel II dieser Richtlinie enthält die allgemeinen Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten.
5. In Art. 6 dieser Richtlinie, der die „Grundsätze in Bezug auf die Qualität der Daten“(3) enthält, heißt es:
„(1) Die Mitgliedstaaten sehen vor, dass personenbezogene Daten
a) nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden;
b) für festgelegte eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zweckbestimmungen nicht zu vereinbarenden Weise weiterverarbeitet werden. Die Weiterverarbeitung von Daten zu historischen, statistischen oder wissenschaftlichen Zwecken ist im Allgemeinen nicht als unvereinbar mit den Zwecken der vorausgegangenen Datenerhebung anzusehen, sofern die Mitgliedstaaten geeignete Garantien vorsehen;
c) den Zwecken entsprechen, für die sie erhoben und/oder weiterverarbeitet werden, dafür erheblich sind und nicht darüber hinausgehen;
…
(2) Der für die Verarbeitung Verantwortliche hat für die Einhaltung des Absatzes 1 zu sorgen.“
6. Art. 7 der Richtlinie 95/46 regelt die „Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten“(4). Nach dieser Bestimmung „[sehen d]ie Mitgliedstaaten … vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist:
a) Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben;
b) die Verarbeitung ist erforderlich für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen;
…“
Verordnung (EU) 2016/679
7. Nach Art. 4 Nr. 11 der Verordnung (EU) 2016/679(5) bezeichnet der Ausdruck „‚Einwilligung‘ der betroffenen Person“ im Sinne dieser Verordnung „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.
8. Art. 6 Abs. 1 Buchst. a und b der Verordnung lautet:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen“.
9. Art. 7 Abs. 1 der Verordnung bestimmt: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“
Rumänisches Recht
10. Die Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Gesetz Nr. 677/2001 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten und zum freien Verkehr dieser Daten, im Folgenden: Gesetz Nr. 677/2001)(6) dient der Umsetzung der Bestimmungen der Richtlinie 95/46 in innerstaatliches Recht.
11. Art. 32 dieses Gesetzes lautet wie folgt:
„Die Verarbeitung personenbezogener Daten durch einen für die Verarbeitung Verantwortlichen oder eine von ihm bevollmächtigte Person, die gegen die Bestimmungen der Art. 4 bis 10 verstößt oder die in den Art. 12 bis 15 oder 17 vorgesehenen Rechte verletzt, stellt eine Ordnungswidrigkeit dar, sofern sie nicht unter Bedingungen erfolgt, nach denen sie eine Straftat darstellt, und wird mit einer Geldbuße von 10 000 000 [alten] Lei [1 000 rumänischen Lei (RON)] bis 250 000 000 [alten] Lei [25 000 RON] geahndet.“
Sachverhalt, Verfahren und Vorlagefragen
12. Orange România SA ist ein Anbieter von Mobiltelekommunikationsdiensten auf dem rumänischen Markt, der diese Dienste sowohl im „PrePay“-System(7) als auch mit Abschluss eines Vertrags über die Erbringung der Dienste(8) anbietet.
13. Am 28. März 2018 erließ die Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Nationale Behörde zur Überwachung der Verarbeitung personenbezogener Daten, im Folgenden: ANSPDCP) aufgrund von Art. 32 in Verbindung mit Art. 8 des Gesetzes Nr. 677/2001 einen Bescheid, mit dem sie eine ordnungswidrigkeitenrechtliche Sanktion gegen Orange România verhängte, was sie damit begründete, dass die Anfertigung und Aufbewahrung von Kopien der Ausweisdokumente ihrer Kunden ohne deren ausdrückliche Einwilligung erfolgt sei.
14. Die ANSPDCP stellte insoweit fest, Orange România habe in der Betriebsstätte mit natürlichen Personen als Kunden Verträge über Mobiltelekommunikationsdienste in Papierform geschlossen, wobei diesen Verträgen Kopien der Ausweisdokumente dieser Kunden angeheftet worden seien. In diesen Verträgen sei u. a. der Umstand vermerkt, dass der Kunde darüber unterrichtet worden sei und darin eingewilligt habe, dass diese Kopien (von Orange România) angefertigt und aufbewahrt werden, wobei das Vorliegen der Kundeneinwilligung durch Ankreuzen entsprechender Kästchen in den Vertragsunterlagen vermerkt worden sei.
15. Die relevante Passage der in Rede stehenden Verträge lautet wie folgt:
„Der Kunde erklärt, dass
i) er vor Abschluss des Vertrags gemäß Art. 11 der Entscheidung Nr. 158/2015 der [Autoritatea Naţională pentru Administrare şi Reglementare în Comunicaţii (Nationale Behörde für die Verwaltung und Regulierung im Bereich Kommunikation)] und der [Ordonanţa de urgenţă a Guvernului (Dringlichkeitsverordnung der Regierung)] [Nr.] 34/2014 über den gewählten Tarif, die geltenden Tarife, die Mindestlaufzeit des Vertrags, die Bedingungen für eine Beendigung des Vertrags und für den Empfang und die Nutzung der Dienste einschließlich des Abdeckungsgebiets der Dienste sowie über sein Recht, den Vertrag gemäß Art. 1.17 der AGB einseitig zu kündigen, unterrichtet wurde;
ii) Orange România dem Kunden alle Informationen zur Verfügung gestellt hat, die erforderlich sind, damit er seine mangelfreie, ausdrückliche, zwangsfreie und konkrete Einwilligung hinsichtlich des Abschlusses und der ausdrücklichen Annahme des Vertrags bekunden kann, einschließlich sämtlicher Vertragsunterlagen – der AGB und der Broschüre über die Tarife und Dienstleistungen;
iii) er informiert worden ist und sein Einverständnis erklärt hat hinsichtlich:
der Verarbeitung personenbezogener Daten zu den in Art. 1.15 der AGB genannten Zwecken;
des Einbehaltens von Kopien der Dokumente, die personenbezogene Daten mit Identifikationsfunktion enthalten, [durch Orange];
des Einverständnisses bezüglich der Verarbeitung personenbezogener Daten (Telefonnummer, E‑Mail-Adresse) zum Zweck der Direktwerbung;
des Einverständnisses bezüglich der Verarbeitung personenbezogener Daten (Telefonnummer, E‑Mail-Adresse) zur Durchführung von Marktstudien;
ich habe das Einbehalten von Kopien der Dokumente, die personenbezogene Daten über den Gesundheitszustand enthalten, zur Kenntnis genommen und bin ausdrücklich damit einverstanden;
dass die in Art. 1.15 Abs. 10 der AGB genannten Daten nicht in die Informationsdienste betreffend die Abonnenten und in die Abonnentenverzeichnisse aufgenommen werden.“
16. Nach Ansicht der ANSPDCP hat Orange România nicht nachgewiesen, dass die Kunden ihre Entscheidung über die Anfertigung und Aufbewahrung der Kopien ihrer Ausweispapiere in voller Kenntnis aller Umstände getroffen hätten.
17. Orange România erhob beim vorlegenden Gericht Klage gegen den Bußgeldbescheid vom 28. März 2018.
18. Nach den Feststellungen des vorlegenden Gerichts gibt es sowohl Verträge, in denen der Kunde seinen Willen bezüglich des Einbehaltens einer Kopie seines Personalausweises ohne Zwang durch Ankreuzen eines Kästchens bekundet hat, als auch gegenteilige Fälle, in denen die Kunden es abgelehnt haben, die entsprechende Einwilligung zu erteilen. Wie sich aus den „internen Verfahren“ von Orange România für den Verkauf zu ergeben scheint, vermerkte Orange România in den letztgenannten Fällen die erforderlichen Angaben dazu, dass der Kunde die Einbehaltung einer Kopie des Ausweisdokuments ablehnte, durch Ausfüllen eines dafür vorgesehenen Formulars und schloss den Vertrag erst danach ab. Ungeachtet der Bestimmungen in den AGB von Orange România war es also so, dass Orange România den Abschluss von Abonnementverträgen mit Kunden auch dann nicht ablehnte, wenn diese es ablehnten, in die Einbehaltung einer Kopie ihres Personalausweises einzuwilligen.
19. Unter diesen Umständen hält es das vorlegende Gericht für besonders wichtig, dass der Gerichtshof feststellt, nach welchen Kriterien zu beurteilen ist, ob eine Einwilligung „für den konkreten Fall“ und „in Kenntnis der Sachlage“ erfolgt, sowie gegebenenfalls über den Beweiswert der Unterzeichnung von Verträgen wie dem im Ausgangsverfahren in Rede stehenden Vertrag.
20. Vor diesem Hintergrund hat das Tribunalul Bucureşti (Landgericht Bukarest) mit Entscheidung vom 14. November 2018, die am 29. Januar 2019 beim Gerichtshof eingegangen ist, folgende Fragen zur Vorabentscheidung vorgelegt:
1. Welche Voraussetzungen müssen im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 erfüllt sein, damit eine Willensbekundung als für den konkreten Fall und in Kenntnis der Sachlage erfolgt angesehen werden kann?
2. Welche Voraussetzungen müssen im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 erfüllt sein, damit eine Willensbekundung als ohne Zwang erfolgt angesehen werden kann?
21. Die Parteien des Ausgangsverfahrens, die rumänische, die italienische, die österreichische und die portugiesische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht. Orange România, die rumänische Regierung und die Europäische Kommission waren in der mündlichen Verhandlung vom 11. Dezember 2019 vertreten.
Würdigung
22. In der vorliegenden Rechtssache wird der Gerichtshof ersucht, die Voraussetzungen näher zu bestimmen, unter denen die Einwilligung in die Verarbeitung personenbezogener Daten als gültig angesehen werden kann.
Vorbemerkungen
Zu den einschlägigen Rechtsakten
23. Durch die Verordnung 2016/679, die seit dem 25. Mai 2018 gilt(9), wurde die Richtlinie 95/46 mit Wirkung vom selben Tag aufgehoben(10).
24. Der Bescheid der ANSPDCP, der Gegenstand des Ausgangsverfahrens ist, erging am 28. März 2018, also vor dem Zeitpunkt, zu dem die Verordnung 2016/679 Geltung erlangte. Allerdings hat die ANSPDCP nicht nur eine Geldbuße gegen Orange România verhängt, sondern auch verlangt, dass Orange România die in Rede stehenden Kopien der Ausweisdokumente vernichtet. Der Streit im Ausgangsverfahren bezieht sich auch auf diese letztere Anordnung. Da diese Anordnung Wirkung für die Zukunft hat, scheint die betreffende Verordnung insoweit in zeitlicher Hinsicht anwendbar zu sein.
25. Die vorgelegten Fragen sind deshalb auf der Grundlage sowohl der Richtlinie 95/46 als auch der Verordnung 2016/679 zu beantworten(11). Darüber hinaus wird die Verordnung bei der Prüfung der Bestimmungen der Richtlinie 95/46 zu berücksichtigen sein(12).
Bestimmung des Umfangs der Vorlagefragen
26. Die beiden Fragen des vorlegenden Gerichts sind zu allgemein und abstrakt gehalten, so dass es erforderlich ist, sie genauer an den Sachverhalt im Ausgangsverfahren anzupassen, um dem vorlegenden Gericht zweckdienliche Hinweise und nützliche Antworten auf die Fragen zu geben. Dazu ist es meines Erachtens unbedingt erforderlich, kurz auf den Sachverhalt des Ausgangsverfahrens einzugehen, so wie dieser aus der Entscheidung des vorlegenden Gerichts und dem Vorbringen der Parteien des Verfahrens, insbesondere in der mündlichen Verhandlung vor dem Gerichtshof, hervorgeht.
27. Rumäniens nationale Datenschutzbehörde, die ANSPDCP, erließ einen Bußgeldbescheid gegen Orange România, weil diese Kopien von Ausweisdokumenten von Kunden angefertigt und einbehalten hatte, ohne dass die Kunden ihre Einwilligung erteilt hatten. Die Behörde stellte fest, dass das Unternehmen Verträge über die Erbringung von Mobiltelekommunikationsdiensten abgeschlossen hatte, wobei die Kopien der Ausweispapiere diesen Verträgen angeheftet wurden. In diesen Verträgen wurde offenbar festgehalten, dass die Kunden über die Anfertigung und Aufbewahrung dieser Kopien informiert worden sind und ihre Einwilligung dazu erteilt haben, was durch Ankreuzen von Kästchen in den Vertragsklauseln belegt sei. Nach den Feststellungen der ANSPDCP hat Orange România jedoch keinen Nachweis dafür erbracht, dass die Kunden ihre Entscheidung über die Anfertigung und Aufbewahrung dieser Kopien zum Zeitpunkt des Vertragsabschlusses in voller Kenntnis der Sachlage getroffen hätten.
28. Wird jemand, der ein Vertragsverhältnis mit Orange România eingehen möchte, von einem Vertreter des Unternehmens über die Konditionen eines bestimmten Vertrags beraten, arbeitet der Vertreter – in der Regel an einem Computer – an einer Vertragsvorlage, die bezüglich der Aufbewahrung von Ausweispapieren ein Ankreuzkästchen vorsieht. Der Kunde wird offenbar darüber informiert, dass dieses Kästchen nicht angekreuzt zu werden braucht. Falls der Kunde nicht damit einverstanden ist, dass eine Fotokopie seines Ausweispapiers angefertigt und aufbewahrt wird, muss er dies dokumentieren, und zwar handschriftlich auf dem Vertrag. Dieses Erfordernis der handschriftlichen Dokumentierung ergibt sich offenbar aus den internen Verkaufsregeln von Orange România. Zudem wird der Kunde darüber informiert, dass er dies verweigern kann, jedoch erfolgt die Information nur mündlich und nicht schriftlich.
29. Vor diesem Hintergrund verstehe ich die beiden Fragen, die zusammen geprüft werden sollten, so, dass das vorlegende Gericht wissen möchte, ob eine betroffene Person, die mit einem Unternehmen ein Vertragsverhältnis über die Erbringung von Mobiltelekommunikationsdiensten eingehen möchte, dem Unternehmen ihre Einwilligung „ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage“ im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 und Art. 4 Nr. 11 der Verordnung 2016/679 erteilt, wenn sie ihre Verweigerung der Einwilligung in die Anfertigung und Aufbewahrung einer Fotokopie ihrer Ausweisdokumente auf einem ansonsten standardisierten Vertrag handschriftlich erklären muss.
30. Insoweit benötigt das vorlegende Gericht offenbar Hinweise zur Beweislast und zu den Beweisanforderungen bezüglich des Unternehmens.
Einwilligung als Voraussetzung für die Verarbeitung personenbezogener Daten
31. Im vorliegenden Fall geht es um die Verarbeitung personenbezogener Daten beim Abschluss eines Vertrags über die Erbringung von Telekommunikationsdiensten.
32. Jede Datenverarbeitung(13) muss erstens den in Art. 6 der Richtlinie 95/46 bzw. in Art. 5 der Verordnung 2016/679 festgelegten Grundsätzen in Bezug auf die Qualität der Daten genügen und zweitens eine der in Art. 7 der Richtlinie bzw. Art. 6 der Verordnung aufgeführten Voraussetzungen erfüllen(14). Wie die Kommission ausführt, kommt in den in Art. 7 der Richtlinie 95/46 aufgeführten sechs Voraussetzungen tatsächlich der allgemeinere, in Art. 6 Abs. 1 Buchst. a der Richtlinie niedergelegte Grundsatz zum Ausdruck, dass personenbezogene Daten nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden müssen.
33. Art. 7 der Richtlinie 95/46 enthält eine abschließende Aufzählung der Fälle, in denen die Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann(15). Die Verarbeitung personenbezogener Daten darf nur erfolgen, wenn mindestens eine der sechs Voraussetzungen für die Rechtmäßigkeit der Datenverarbeitung erfüllt ist. Eine dieser Voraussetzungen ist, dass die betroffene Person ohne jeden Zweifel ihre Einwilligung gegeben hat.
Zum Begriff der Einwilligung
34. Die Einwilligung der betroffenen Person ist in Art. 2 Buchst. h der Richtlinie 95/46 definiert als jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.
35. Dieser Wortlaut entspricht(16) weitgehend dem von Art. 4 Nr. 11 der Verordnung 2016/679, wo die Einwilligung der betroffenen Person definiert ist als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist(17).
36. Das Erfordernis der Einwilligung der betroffenen Person ist ein zentrales, dem Datenschutzrecht der Union zugrunde liegendes Merkmal(18). Es ist in der Charta der Grundrechte der Europäischen Union verankert, deren Art. 8 bestimmt, dass Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Allgemeiner gesagt ergibt sich aus dem Begriff der Einwilligung, dass es der betroffenen Person gestattet ist, selbst über die Legitimität von Beschränkungen ihres Rechts auf Schutz ihrer personenbezogenen Daten zu entscheiden(19).
37. Das Datenschutzrecht der Union beruht auf dem Leitprinzip einer selbstbestimmten Entscheidung eines Individuums, das selbst über die Nutzung und Verarbeitung seiner Daten entscheiden kann(20). Gerade das Einwilligungserfordernis gibt ihm die Möglichkeit, diese Entscheidung zu treffen, und ihm gleichzeitig in Situationen, die ihrer Natur nach zwangsläufig asymmetrisch sind, Schutz bietet(21). Nur wenn die Einwilligung ohne Zwang, auf den konkreten Fall bezogen und in voller Kenntnis der Sachlage erfolgt, erfüllt sie die in der Richtlinie 95/46 und in der Verordnung 2016/679 aufgestellten Voraussetzungen.
38. An dieser Stelle sind drei weitere kurze Anmerkungen zum offenbar unterschiedlichen Wortlaut der genannten Bestimmungen angebracht.
39. Erstens heißt es in Art. 4 Nr. 11 der Verordnung 2016/679, anders als in Art. 2 Buchst. h der Richtlinie 95/46, dass es sich um eine „unmissverständlich abgegebene“ Willensbekundung handeln muss. Dies dürfte, denke ich, einen einfachen Grund haben: Art. 7 Buchst. a der Richtlinie bestimmt hinsichtlich der Voraussetzungen für die Rechtmäßigkeit der Datenverarbeitung, wie oben bereits erwähnt, dass die betroffene Person „ohne jeden Zweifel“ ihre Einwilligung gegeben haben muss, wohingegen die entsprechende Bestimmung in der Verordnung 2016/679 – Art. 6 Abs. 1 Buchst. a – keine solche Anforderung enthält. Anders ausgedrückt wurde dieses Kriterium der unmissverständlichen Angabe schlicht in die allgemeinere Bestimmung der Verordnung 2016/679 aufgenommen.
40. Zweitens bestimmt Art. 4 Nr. 11 der Verordnung 2016/679, dass die betroffene Person ihren Willen „in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“ bekundet. Diese Klarstellung ist in der Tat ein in die Verordnung aufgenommenes neues Element, für das es keine semantische Entsprechung in der Richtlinie 95/46 gibt.
41. Drittens weicht die französische Sprachfassung der Richtlinie 95/46, was das die Einwilligung betreffende Merkmal „in Kenntnis der Sachlage“ anbelangt, von der französischen Sprachfassung der Verordnung 2016/679 ab. Während in Art. 2 Buchst. h der Richtlinie von einer „manifestation de volonté … informée“ die Rede ist, spricht Art. 4 Nr. 11 der Verordnung von einer „manifestation de volonté … eclairée“.
42. Meines Erachtens bewirkt diese Änderung des Wortlauts eher Verwirrung als eine Klarstellung, da die französische Sprachfassung die einzige, jedenfalls aber eine der sehr wenigen Sprachfassungen ist, die eine solche Unterscheidung treffen. Eine Reihe von Sprachfassungen, darunter übrigens die der anderen romanischen Sprachen, verwenden an dieser Stelle schlicht genau dieselben Ausdrücke(22), während andere Sprachfassungen insoweit wohl leichte Unterschiede aufweisen, die jedoch weniger gravierend sind als diejenigen in der französischen Sprachfassung(23).
43. Auf den Begriff der „in Kenntnis der Sachlage“ erfolgten bzw. „in informierter Weise“ abgegebenen Einwilligung werde ich nachstehend zurückkommen.
Freiwillig erteilte Einwilligung
44. Das Erfordernis einer „Willensbekundung“ der betroffenen Person deutet klar auf ein aktives und nicht passives Verhalten hin(24) und erfordert, dass die betroffene Person über ein hohes Maß an Autonomie verfügt, wenn sie sich entscheidet, ihre Einwilligung zu erteilen oder nicht zu erteilen(25). In Bezug auf die konkrete Situation eines Online-Gewinnspiels auf einer Website hat der Gerichtshof festgestellt, dass eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, kein aktives Verhalten des Nutzers der Website impliziert(26).
45. Meiner Ansicht nach gilt diese Feststellung gleichermaßen für die analoge Welt: Die Einwilligung in Form eines voreingestellten Ankreuzkästchens kann nicht die aktive Einwilligung derjenigen Person implizieren, die mit einem physischen Dokument zu tun hat, das sie letztendlich unterzeichnet. In einer solchen Situation weiß man nämlich nicht, ob ein solcher vorformulierter Text gelesen und verstanden wurde. Die Situation ist nicht frei von Zweifeln. Der Text mag gelesen worden sein oder auch nicht. Der „Leser“ mag dies aus reiner Nachlässigkeit vergessen haben; es ist daher unmöglich, klar festzustellen, ob die Einwilligung freiwillig erteilt wurde(27).
Einwilligung in Kenntnis der Sachlage
46. Es muss völlig außer Zweifel stehen, dass die betroffene Person ausreichend informiert wurde(28).
47. Die betroffene Person muss über alle die Datenverarbeitung und deren Folgen betreffenden Umstände informiert werden. Insbesondere muss sie wissen, welche Daten verarbeitet werden, wie lange die Verarbeitung andauert, in welcher Weise und zu welchem spezifischen Zweck sie erfolgt. Die betroffene Person muss außerdem wissen, wer die Daten verarbeitet und ob die Daten dazu bestimmt sind, an Dritte übermittelt zu werden. Entscheidend ist, dass sie darüber informiert wird, welche Folgen es hat, wenn sie die Einwilligung verweigert, d. h., ob die Einwilligung in die Datenverarbeitung Voraussetzung für den Vertragsabschluss ist oder nicht(29).
Zur Beweislast
48. Damit bleibt für uns die Frage, wem es obliegt, nachzuweisen, dass sich die betroffene Person in einer Lage befand, die es ihr ermöglichte, ihre Einwilligung gemäß den soeben ermittelten Kriterien zu erteilen.
49. Art. 7 Abs. 1 der Verordnung 2016/679 ist eindeutig und lässt keinen Raum für Zweifel: Beruht die Verarbeitung auf einer Einwilligung, so muss der Verantwortliche nachweisen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat(30). Diese Bestimmung stellt einen besonderen Ausdruck des in Art. 5 Abs. 2 der Verordnung 2016/679 verankerten Grundsatzes der Rechenschaftspflicht dar. Meines Erachtens erfordert der Zweck dieser Bestimmung eine weite Auslegung, da der Verantwortliche nicht nur nachweisen muss, dass die betroffene Person ihre Einwilligung erteilt hat, sondern auch nachweisen muss, dass sämtliche Wirksamkeitsvoraussetzungen vorliegen(31).
50. Einige Autoren bezweifeln, dass es in Art. 7 Abs. 1 der Verordnung 2016/679 um die Beweislast geht, und weisen insoweit auf die Entstehungsgeschichte dieser Verordnung hin(32). Es wird geltend gemacht, dass zwar in dem sowohl von der Kommission als auch vom Parlament vorgeschlagenen Wortlaut ausdrücklich von der „Beweislast“ die Rede sei, diese Formulierung jedoch im angenommenen Text und damit im geltenden Recht nicht vorkomme.
51. Diese Auffassung verdient eine genauere Untersuchung.
52. Im ursprünglichen Vorschlag der Kommission(33) ist in der Tat von der „Beweislast“ die Rede, die der Verantwortliche zu tragen hat. Das Parlament hat diese Formulierung in erster Lesung(34) nicht in Frage gestellt. Erst der Rat(35) hat den Begriff „Beweislast“ durch die Formulierung „muss der Verantwortliche nachweisen können“ ersetzt. Der endgültige Text wurde sodann in dieser Form angenommen.
53. Ich würde dieser Änderung des Wortlauts keine allzu große Bedeutung beimessen(36). Der Rat legt nirgends in den Erwägungsgründen seines Standpunkts Gründe für die vorgeschlagene Änderung des Wortlauts dar(37). Dies deutet darauf hin, dass es dem Organ lediglich um eine Änderung des Wortlauts der betreffenden Bestimmung ging, nicht um eine Änderung ihrer Bedeutung. So betrachtet stellt die Wendung „muss … nachweisen können“ tatsächlich eine leichter verständliche Beschreibung dessen dar, was mit „Beweislast“ gemeint ist(38).
54. Wir dürfen daher annehmen, dass Art. 7 Abs. 1 der Verordnung 2016/679 die Beweislast für die Einwilligung der betroffenen Person in die Verarbeitung personenbezogener Daten dem Verantwortlichen auferlegt(39). Jegliche Zweifel an der Erteilung der Einwilligung durch die betroffene Person müssen durch vom Verantwortlichen zu erbringenden Beweis ausgeräumt werden(40). Die Beweislast dafür, dass die betroffene Person in die Lage versetzt wurde, ihre Einwilligung ohne Zwang, auf den konkreten Fall bezogen und in voller Kenntnis der Sachlage zu erteilen, liegt daher eindeutig bei der Stelle, die die Verarbeitung durchführt.
55. Nach der Richtlinie 95/46 stellt sich die Rechtslage insoweit nicht anders dar.
56. Wenngleich die Richtlinie 95/46 keine gesonderte Bestimmung enthielt, die Art. 7 der Verordnung 2016/679 hinsichtlich der Bedingungen für die Einwilligung vergleichbar wäre, waren die meisten in dieser Vorschrift niedergelegten Bedingungen auch in der Richtlinie zu finden. Auch wenn die Beweislastregel nicht ausdrücklich in der Richtlinie niedergelegt ist, folgt sie doch mittelbar aus der Bestimmung(41), in der es heißt: „Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben“(42).
Zur Situation von Orange România
57. Nunmehr möchte ich mich der Anwendung dieser Kriterien auf den vorliegenden Fall zuwenden.
58. Vorab möchte ich anmerken, dass die Frage, ob Orange România von den Kunden verlangen kann, in das Kopieren und Aufbewahren ihrer Ausweisdokumente einzuwilligen, außerhalb des Gegenstands dieser Rechtssache liegt, da dies für das betreffende Unternehmen keine Voraussetzung für den Vertragsabschluss ist. Mit anderen Worten: Im vorliegenden Fall geht es nicht um die Auslegung von Art. 7 Buchst. b der Richtlinie 95/46 bzw. Art. 6 Abs. 1 Buchst. b der Verordnung 2016/679. Gleichwohl halte ich es für legitim, dass eine Firma ihre Kunden bittet, einige personenbezogene Daten, insbesondere zum Nachweis ihrer Identität, für die Zwecke des Vertragsabschlusses anzugeben. Vom Kunden zu verlangen, dass er darin einwilligt, dass eine Kopie seiner Ausweisdokumente angefertigt und aufbewahrt wird, dürfte jedoch über das für die Vertragserfüllung Erforderliche hinausgehen.
59. Auf der Grundlage der vorliegenden Informationen scheint mir, dass die Kunden von Orange România unter den vom vorlegenden Gericht beschriebenen Umständen ihre Einwilligung nicht ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erteilen.
60. Erstens fehlt es an einer freiwillig gegebenen Einwilligung. Vom Kunden zu verlangen, dass er handschriftlich erklärt, dass er die Einwilligung in die Anfertigung und Aufbewahrung einer Kopie seines Personalausweises verweigert, ermöglicht insofern keine freiwillige Erteilung der Einwilligung, als der Kunde in eine Lage gebracht wird, in der er merklich vom gewöhnlichen Vertragsschlussverfahren abweicht. Kunden dürfen in diesem Zusammenhang nicht den Eindruck haben, dass ihre Weigerung, in die Anfertigung und Aufbewahrung einer Kopie ihrer Ausweisdokumente einzuwilligen, nicht mit der gewöhnlichen Verfahrensweise in Einklang steht. Insoweit möchte ich daran erinnern, dass der Gerichtshof einem aktiven Verhalten, mit dem die betroffene Person ihre Einwilligung bekundet, große Bedeutung beigemessen hat(43). Die Erteilung der Einwilligung erfordert daher ein positives Handeln der betroffenen Person. Im vorliegenden Fall scheint es aber genau umgekehrt zu sein: Positives Handeln ist erforderlich, um die Einwilligung zu verweigern. Um nochmals auf das Urteil in der Rechtssache Planet49(44) zurückzukommen: Wenn es schon zu hohe Anforderungen an den Kunden stellt, das in einem Ankreuzkästchen auf einer Website voreingestellte Häkchen zu entfernen, dann kann von einem Kunden vernünftigerweise erst recht nicht erwartet werden, dass er seine Verweigerung der Einwilligung in handschriftlicher Form erklärt.
61. Zweitens fehlt es an einer in Kenntnis der Sachlage erteilten Einwilligung. Dem Kunden wird nicht unmissverständlich erklärt, dass der Vertragsabschluss dadurch, dass er die Anfertigung und Aufbewahrung einer Kopie seines Personalausweises verweigert, nicht unmöglich wird. Ein Kunde, der sich der Folgen nicht bewusst ist, entscheidet nicht in voller Kenntnis der Sachlage.
62. Drittens – und lediglich auf hypothetischer Grundlage – ist festzustellen, dass es keinerlei Hinweise darauf gibt, dass Orange România die Einwilligung der Kunden in die Verarbeitung ihrer personenbezogenen Daten nachweisen konnte. Insoweit ist der offensichtliche Mangel an Klarheit bei den internen Verfahren der Beibringung von Beweisen für die Erteilung der Kundeneinwilligung sicherlich nicht förderlich. Eine solche mangelnde Klarheit und widersprüchliche Anweisungen an das Verkaufspersonal dürfen jedoch offensichtlich nicht zulasten des Kunden gehen, der in diesem Fall die betroffene Person ist.
Ergebnis
63. Angesichts der vorstehenden Ausführungen schlage ich dem Gerichtshof vor, die vom Tribunalul Bucureşti (Landgericht Bukarest, Rumänien) vorgelegten Fragen wie folgt zu beantworten:
Eine betroffene Person, die ein Vertragsverhältnis über die Erbringung von Mobiltelekommunikationsdiensten mit einem Unternehmen einzugehen beabsichtigt, erteilt dem Unternehmen keine „Einwilligung“, d. h. bekundet nicht „ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage“ ihren Willen, im Sinne von Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und von Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), wenn sie auf einem ansonsten standardisierten Vertrag handschriftlich erklären muss, dass sie die Einwilligung in die Anfertigung und Aufbewahrung von Fotokopien ihrer Ausweispapiere verweigert.