§§ 4 BDSG, 3 Abs. 1 TDDSG, 12 Abs. 2 MDStV erlauben die Verarbeitung und Nutzung personenbezogener Daten nur dann, wenn das Bundesdatenschutzgesetz selbst oder eine andere Rechtsvorschrift sie erlaubt oder der Betroffene eingewilligt hat. Dieses grundsätzliche Verbot wird aber (natürlich) durch eine Vielzahl von Erlaubnistatbeständen relativiert. Eine Verarbeitung, und das ist wichtig zu wissen, ist aber eben nur dann zulässig, wenn es einen solchen Erlaubnistatbestand gibt. Der Jurist nennt das ein »Verbot mit Erlaubnisvorbehalt.
Einwilligung
Zulässig ist die Verarbeitung personenbezogener Daten immer dann, wenn eine wirksame Einwilligung des Betroffenen vorliegt. Ob die datenschutzrechtliche Einwilligung eine rechtsgeschäftliche Erklärung oder eine tatsächliche Handlung darstellt, ist umstritten. Wichtig ist das vor allem dann, wenn es um die Einwilligung von Kindern und Jugendlichen geht. Im Ergebnis wird man differenzieren müssen. Bei Kindern bis zum Alter von 14 Jahren dürfte generell keine Einsichtsfähigkeit hinsichtlich datenschutzrechtlicher Konsequenzen anzunehmen sein, Jugendliche, die älter als 16 Jahre alt sind, werden dagegen eine solche Einsichts- und Einwilligungsfähigkeit besitzen. In der Grauzone zwischen 14 und 16 Jahren kommt es auf die individuelle Reife an. Anbietern ist deshalb zu empfehlen, mit den Daten von Jugendlichen unter 16 Jahren ganz besonders vorsichtig umzugehen.
Die Einwilligung muss nach § 4 a Abs. 1 S. 3 BDSG vor Beginn der Datenerhebung ausdrücklich und schriftlich erklärt werden, soweit nicht besondere Umstände des Einzelfalls eine andere Form zulassen. Im Internet kann eine Einwilligung auch per Mausklick erteilt werden. Für eine wirksame elektronische Einwilligung muss der Diensteanbieter allerdings gemäß §§ 94 TKG, 4 Abs. 2 TDDSG sicherstellen, dass die Einwilligung nur durch eine eindeutige und bewusste Handlung des Nutzers erfolgen kann, die protokolliert wird und jederzeit vom Nutzer abgerufen werden kann. Wird die Einwilligung im Kontext mit der Abgabe anderer Erklärungen erteilt, wie es vor allem bei Internetbestellungen die Praxis ist, fordert § 4 a Abs. 1 S. 4 BDSG eine besondere Hervorhebung im Text, also etwa Fettdruck oder eine farbliche Hinterlegung.
Datenschutzerklärung
Eine wirksame Einwilligung muss sich immer auf einen eindeutigen und genau umschriebenen Verarbeitungsvorgang beziehen. In einer online abrufbaren Datenschutzerklärung sollte daher möglichst detailliert beschrieben werden, welche Daten erhoben und wie sie verarbeitet werden sollen. §§ 4 a Abs. 1 S. 2 BDSG, 93 TKG, 4 Abs. 1 TDDSG schreiben ausdrücklich vor, dass der Betroffene auf Art, Umfang und Zweck der Datenverarbeitung, die Verarbeitung außerhalb der Europäischen Union und auf die Folgen einer Verweigerung der Einwilligung hinzuweisen ist. In Allgemeinen Geschäftsbedingungen versteckte Einwilligungserklärungen sind unwirksam.
Koppelungsverbot
Die im Internet häufig zu beobachtende Praxis, den Zugang zu einem Angebot davon abhängig zu machen, dass der Nutzer in die Verarbeitung oder Nutzung seiner Daten zu anderen Zwecken - etwa Marketingaktionen - einwilligt, ist nach §§ 95 Abs. 5 TKG, 3 Abs. 4 TDDSG unzulässig. Danach darf der Diensteanbieter nämlich die Erbringung von Telediensten nicht von einer solchen gekoppelten Einwilligung abhängig machen, wenn dem Nutzer ein anderer Zugang zu diesen Telediensten nicht oder nicht in zumutbarer Weise möglich ist. Umstritten ist allerdings, ob der Gesetzgeber hiermit das konkrete Angebot des Dienstleisters meint oder nur das Ausnutzen einer Monopolstellung, eine Verknüpfung also dann zulässig ist, wenn es Mitbewerber gibt, die vergleichbare Dienste anbieten. Im Ergebnis ist das aber ohnehin egal, weil § 4 a Abs. 1 S.1 BDSG vorschreibt, dass die Einwilligung freiwillig erteilt werden muss und schon deshalb nicht an die Bereitschaft des Betroffenen gekoppelt werden darf, in die Verwendung personenbezogener Daten zu anderen Zwecken einzuwilligen. Die Teilnahme an einem Gewinnspiel im Internet darf daher nicht davon abhängig gemacht werden, dass der Kunde in die Zusendung von Werbe-E-Mails einwilligt.