§ 12 Grenzüberschreitender Verkehr von Beschäftigtendaten / a) Einwilligung, Art. 49 ...

David Bomhard

Rz. 64

Damit eine Einwilligung des Beschäftigten die Übermittlung seiner Daten in ein Drittland rechtfertigt, müssen die strengen Voraussetzungen der Art. 4 Nr. 11, 7, 49 Abs. 1 lit. a DSGVO erfüllt sein – was das übermittelnde Unternehmen (etwa der Arbeitgeber) rechtssicher nachweisen können muss (zu dieser Rechenschaftspflicht Art. 5 Abs. 2, 7 Abs. 1 und 24 Abs. 1 DSGVO).

aa) Ausdrücklich

Rz. 65

Zunächst muss die Einwilligung ausdrücklich erfolgen, also zumindest in unmissverständlicher Weise durch eine eindeutig bestätigende Handlung. Dem kann das aktive Anklicken eines Kästchens beim Besuch einer Internetseite ("Opt-On") genügen, nicht aber das bloße Stillschweigen oder das Dulden eines bereits angekreuzten Kästchens ("Opt-Out").^{^[60]} Zudem verlangt Ausdrücklichkeit i.S.v. Art. 49 Abs. 1 lit. a DSGVO richtigerweise eine jeweils im konkreten Einzelfall erteilte Zustimmung,^{^[61]} wofür bereits der Ausnahmecharakter der Norm spricht.

[60] Dazu Erwägungsgrund 32 S. 2 und S. 3 DSGVO.

[61] Plath/von dem Bussche, Art. 49 Rn 7.

bb) Informiert

Rz. 66

Die wirksame Einwilligung bedarf einer informierten Entscheidungsgrundlage, welche wiederum an hohe Anforderungen geknüpft ist. Der Beschäftigte muss darüber unterrichtet werden, welche Risiken mit der grenzüberschreitenden Übermittlung seiner Daten ohne Angemessenheitsbeschluss und ohne geeignete Garantien einhergehen, Art. 49 Abs. 1 lit. a DSGVO. Dies umfasst konkrete Angaben zum genauen Zweck, Empfänger und Zielort der Datenübermittlung.^{^[62]} Ebenso muss der betroffene Beschäftigte über sein Widerrufsrecht nach Art. 7 Abs. 3 DSGVO aufgeklärt werden.^{^[63]}

Die Unterrichtung des Beschäftigten birgt für das übermittelnde Unternehmen große Rechtsunsicherheit: Einerseits muss sie in für juristische Laien verständlicher Sprache erfolgen, darf also nicht zu lang sein. Andererseits darf sie nicht derart vereinfacht bzw. verdichtet werden, dass gesetzlich vorgesehener Unterrichtungsinhalt fehlt.

[62] Eingehend Kühling/Buchner/Schröder, Art. 49 Rn 15 m.w.N.

[63] Gedanke des § 26 Abs. 2 S. 4 BDSG, sowie Art. 7 Abs. 3 S. 3 DSGVO, Art. 13 Abs. 2 lit. c DSGVO.

cc) Freiwillig

Rz. 67

Ein generelles Ungleichgewicht i.S.v. Erwägungsgrund 43 S. 1 DSGVO besteht zwischen Arbeitgebern und Arbeitnehmern richtigerweise nicht, sodass Arbeitnehmer im Grundsatz freiwillig einwilligen können.^{^[64]} Ob die Einwilligung tatsächlich freiwillig erfolgt, dürfte in der Praxis von den Gesamtumständen des konkreten Beschäftigungsverhältnisses abhängig sein. Auch bei der Datenübermittlung dürfte der Gedanke des § 26 Abs. 2 BDSG zutreffen, wonach Freiwilligkeit insbesondere dann vorliegen kann, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.^{^[65]} Anderer Meinung ist das EDPB und begründet dies mit einem Abhängigkeitsverhältnis.^{^[66]} Dabei bleibt jedoch unklar, worin das grundsätzliche Ungleichgewicht zu sehen ist. Gemäß EDPB mangele es an der Freiwilligkeit, wenn Arbeitnehmer einen Nachteil (auch mittelbar) fürchten müssen, falls sie nicht einwilligten.^{^[67]} Dabei sieht das EDPB die Beweislast beim Arbeitgeber.^{^[68]} Hier stellen Alternativmöglichkeiten bei der Nicht-Einwilligung ein Indiz für die Freiwilligkeit dar.^{^[69]} Das EDPB erkennt gleichzeitig an, dass eine wirksame Einwilligung zumindest möglich ist.^{^[70]}

[64] So bereits BAG vom 11.12.2014 – 8 AZR 1010/13, NZA; 2015, 604 (607) [dort unter Rn 32] zu § 32 BDSG a.F.; Nunmehr allgemein klargestellt von Erwägungsgrund 155 DSGVO.

[65] Ebenso Wybitul/Ströbel/Rueß, ZD 2017, 503, 507.

[66] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 21.

[67] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 24.

[68] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 22.

[69] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 23.

[70] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 22.

dd) Widerruflich

Rz. 68

Der Beschäftigte hat das Recht, seine Einwilligung jederzeit (auch im laufenden Beschäftigungsverhältnis) zu widerrufen (Art. 7 Abs. 3 DSGVO) ohne dabei Nachteile^{^[71]} befürchten zu müssen – wie z.B. eine Kündigung oder schwerwiegend schlechtere Arbeitsbedingungen. Stützt eine Arbeitsorganisation ihren grenzüberschreitenden Datenverkehr allein auf Einwilligungen der Beschäftigten, so setzt sie sich dem strukturellen Risiko aus, durch einen datenschutzrechtlichen Widerruf schlagartig lahmgelegt zu werden. Dies gilt besonders dann, wenn das Geschäftsmodell des Arbeitgebers von der grenzüberschreitenden Datenübermittlung abhängt.

[71] Gola/Schulz, Art. 7 Rn 54 f. m.w.N.

ee) Praktische Bewertung der Einwilligung als Datenübermittlungsgrundlage

Rz. 69

Nachteile:

▪	Kaum massentauglich: Das verantwortliche Unternehmen müsste die Einwilligung richtigerweise für jede einzelne Übermittlung gesondert einholen und die Wirksamkeit der Einwilligungen in jedem Einzelfall rechtssicher nachweisen können.
▪	Unsicherheit, ob gesetzeskonform unterrichtet wurde.
▪	Einwilligung jederzeit widerruflich.