Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung

David Vasella
Zur Freiwilligkeit und zur Ausdrücklichkeit
der Einwilligung im Datenschutzrecht
Die Einwilligung spielt im Datenschutzrecht als Rechtfertigungsgrund eine wichtige Rolle (Art. 13 Abs. 1 DSG). Einwilligungen, die meist über AGB eingeholt
werden, sind dabei nur wirksam, wenn sie informiert, freiwillig und – soweit es
um eine Bearbeitung besonders schützenswerter Daten oder von Persönlichkeitsprofilen geht – ausdrücklich erfolgen (Art. 4 Abs. 5 DSG). Dabei sind die Anforderungen insbesondere an die Freiwilligkeit und Ausdrücklichkeit nicht ganz klar,
und der Schlussbericht des EDÖB i.S. PostFinance hat die Unklarheiten erheblich
verstärkt. Der Beitrag versucht deshalb, zur Klärung beizutragen.
Beitragsarten: Beiträge
Rechtsgebiete: Datenschutz
Zitiervorschlag: David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im
Datenschutzrecht, in: Jusletter 16. November 2015
ISSN 1424-7410, http://jusletter.weblaw.ch, Weblaw AG, [email protected], T +41 31 380 57 77
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
Inhaltsübersicht
1.
2.
3.
4.
5.
1.
Einleitung
Der Schlussbericht des EDÖB i.S. PostFinance
2.1. Ausgangslage
2.2. Zur Freiwilligkeit und Ausdrücklichkeit im Schlussbericht
2.3. Exkurs: Fragwürdige Ausführungen zum Begriff besonders schützenswerter Personendaten und zur Datenrichtigkeit
Zur Freiwilligkeit einer Einwilligung
3.1. Grundsatz
3.2. Kein datenschutzrechtlicher Kontrahierungszwang
Zur Ausdrücklichkeit einer Einwilligung
4.1. Das Verständnis der «Ausdrücklichkeit» nach dem EDÖB
4.2. Das Verständnis der «Ausdrücklichkeit» in der Literatur
4.3. Auslegung von Art. 4 Abs. 5 DSG
4.4. Konkretisierung durch Parteivereinbarung?
4.5. Ausdrückliche Einwilligung durch Zustimmung zu AGB?
Ergebnisse
Einleitung
[Rz 1] Das private schweizerische Datenschutzrecht beruht auf dem Grundsatz der «Erlaubnis mit
Verbotsvorbehalt». Private dürfen Personendaten danach ohne besondere Grundlage bearbeiten,
soweit die Bearbeitung im Einklang mit den datenschutzrechtlichen Grundsätzen erfolgt – anders
als nach Europäischem Datenschutzrecht1 und anders auch als im öffentlichen Datenschutzrecht,
das dem Legalitätsprinzip untersteht und Bearbeitungen daher nur bei gesetzlicher Grundlage erlaubt.2 Private Datenbearbeitungen können deshalb auch ohne Einwilligung der betroffenen Person
erfolgen.
[Rz 2] Die Einwilligung spielt aber als Rechtfertigungsgrund eine wichtige Rolle, z.B. bei einer
Weitergabe besonders schützenswerter Personendaten oder von Persönlichkeitsprofilen an Dritte3
(Art. 12 Abs. 2 lit. c Bundesgesetz über den Datenschutz; DSG), bei einer Datenbekanntgabe,
mit der eine schwerwiegende Persönlichkeitsverletzung verbunden ist (was bei einer Bekanntgabe
in einen Staat ohne angemessenes Schutzniveau vermutet wird; Art. 6 Abs. 1 und Abs. 2 lit. f
DSG4 ) und besonders bei einer Bearbeitung von Daten zu Zwecken, die bei der Beschaffung nicht
erkennbar waren und dadurch den Zweckbindungs- und den Erkennbarkeitsgrundsatz verletzen
(Art. 4 Abs. 4 und 3 DSG). Letzteres geschieht häufig, z.B. durch die Auswertung von Personendaten, die im Rahmen einer Dienstleistung ohne entsprechende Hinweise beschafft wurden, für
1
Vgl. Art. 7 der Richtlinie 95/46/EG («Datenschutzrichtlinie»).
2
Art. 17 Abs. 1 DSG oder etwa § 8 des Zürcher Gesetzes über die Information und den Datenschutz.
3
D.h. an Personen ausserhalb eines Auftragsverhältnisses i.S.v. Art. 10a DSG, die keine Mitinhaber sind.
4
Vgl. dazu jüngst das Urteil des EuGH vom EuGH, Urteil vom 6. Oktober 2015, Rs. C‑362/14 (http://curia.
europa.eu/juris/document/document.jsf?text=&docid=169195&pageIndex=0&doclang=DE&mode=req&
dir=&occ=first&part=1), die Stellungnahme der Artikel-29-Arbeitsgruppe vom 16. Oktober 2015 (http:
//ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/index_en.htm)
und die beiden Stellungnahmen des EDÖB vom 7. Oktober und vom 22. Oktober 2015 (http://www.edoeb.
admin.ch/datenschutz/00626/00753/00970/01320/index.html) (Alle Websites zuletzt besucht am 10. November 2015).
2
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
Analyse- oder Marketingzwecke.5 Die Einwilligung kommt in solchen Fällen häufig als einziger
Rechtfertigungsgrund in Frage.
[Rz 3] Eine Einwilligung ist auch unter datenschutzrechtlichen Gesichtspunkten nur dann wirksam,
wenn sie freiwillig und nach angemessener Information erfolgt ist (Art. 4 Abs. 5 DSG). Gesetzliche
Formerfordernisse bestehen dabei nicht. Von letzterem Grundsatz weicht Art. 4 Abs. 5 DSG ab,
wenn sich die Einwilligung auf die Bearbeitung besonders schützenswerter Personendaten oder
von Persönlichkeitsprofilen i.S.v. Art. 3 lit. c und d DSG (im Folgenden gemeinsam «besondere
Personendaten») bezieht: Hier muss die Einwilligung «ausdrücklich» erfolgen.6 Die Bedeutung des
Ausdrücklichkeiterfordernisses ist jedoch strittig (dazu Rz. 25 ff.). Offen ist insbesondere die Frage,
ob eine ausdrückliche Einwilligung auch konkludent erklärt werden kann. Aber auch der Begriff
der Freiwilligkeit ist nicht ganz klar.
[Rz 4] Diese Unklarheiten haben sich durch den kürzlich veröffentlichten Schlussbericht des EDÖB
i.S. PostFinance7 verstärkt, weshalb zunächst auf diesen Schlussbericht einzugehen ist. In der
Folge sind die Anforderungen an die Freiwilligkeit und die Ausdrücklichkeit einer Einwilligung zu
untersuchen.
2.
Der Schlussbericht des EDÖB i.S. PostFinance
2.1.
Ausgangslage
[Rz 5] Am 28. Juli 2015 hat der EDÖB den auf den 1. Juni 2015 datierten Schlussbericht i.S.
PostFinance veröffentlicht.8 Der EDÖB hat darin zwei Funktionen von PostFinance untersucht,
«E-Cockpit» und «Bicicletta». E-Cockpit ordnet die Transaktionen von PostFinance-Kunden Kategorien zu, um Kunden eine bessere Übersicht über ihr Ausgabeverhalten zu ermöglichen. Die
entsprechenden Angaben werden nur den Kunden selbst zur Verfügung gestellt. Bicicletta geht
weiter und berechnet aufgrund der E-Cockpit-Daten Affinitäten, d.h. die Wahrscheinlichkeit, dass
ein Kunde bestimmte Leistungen bezieht. Auf dieser Grundlage wird dem Kunden im E-FinancePortal zielgerichtete Werbung Dritter angezeigt. Den betreffenden Dritten werden dabei aber keine
Personendaten zur Verfügung gestellt.9
[Rz 6] Diese Vorgänge sind dem EDÖB zufolge rechtfertigungsbedürftig, weil sowohl die Kategorisierung im Rahmen von E-Cockpit als auch die Auswertung im Rahmen von Bicicletta unverhältnismässig seien10 und weil Bicicletta den Zweckbindungsgrundsatz11 und den Grundsatz der
5
Vgl. dazu etwa Astrid Epiney, Big Data und Datenschutzrecht: Gibt es einen gesetzgeberischen Handlungsbedarf?, Jusletter IT 21. Mai 2015, Rz. 25 ff. Die Analyse von Personendaten zu rein unternehmensinternen
Zwecken dürfte dagegen oft vom ursprünglichen Zweck gedeckt sein.
6
Das DSG verlangt «Ausdrücklichkeit» nicht nur bei Art. 4 Abs. 5 DSG, sondern auch in Art. 6 Abs. 2 lit. f,
Art. 12 Abs. 2 lit. b, Art. 12 Abs. 3, Art. 17 Abs. 2 lit. c und Art. 19 Abs. 1 lit. c (jeweils für den Widerspruch gegen eine Bearbeitung).
7
EDÖB, Schlussbericht vom 1. Juni 2015 betreffend Abklärung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) [...] im Zusammenhang mit E-Cockpit und Bicicletta von PostFinance [...] (zit.
als «Schlussbericht PostFinance»).
8
Vgl. http://is.gd/Gp7ph7.
9
Schlussbericht PostFinance, 16 f.
10
Schlussbericht PostFinance, 16 f.
11
Schlussbericht PostFinance, 19.
3
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
Datenrichtigkeit12 verletze. Der EDÖB beurteilt sodann die in Bicicletta bearbeiteten Personendaten als Persönlichkeitsprofile.13 In der Folge prüft der EDÖB, ob eine wirksame Einwilligung
vorliegt, insbesondere mit Bezug auf ihre Freiwilligkeit und Ausdrücklichkeit.
2.2.
Zur Freiwilligkeit und Ausdrücklichkeit im Schlussbericht
[Rz 7] Der EDÖB äussert sich im Schlussbericht nur am Rande zur Freiwilligkeit einer Einwilligung:
«Eine Einwilligung muss freiwillig erfolgen, das heisst Ausdruck des freien Willens der betroffenen Person sein. Ungültig ist die durch Täuschung, Drohung oder Zwang zustande gekommene
Einwilligung. Der betroffenen Person muss eine – mit nicht unzumutbaren Nachteilen behaftete
– Handlungsalternative zur Verfügung stehen (vgl. BVGer A-3907/2008 E. 4.2)».14 Wann eine
Handlungsalternative zumutbar ist (und was überhaupt eine Alternative ist), wird im Schlussbericht nicht ganz klar. Er verneint die Freiwilligkeit aber mit Bezug auf das E-Cockpit, weil
diese Funktion (anders als Bicicletta, wo ein Opt-out möglich war) zwingend mit der Führung bestimmter Konten verbunden war, gemäss den AGB von PostFinance.15 Dass auch andere Anbieter
Konten führen, hat dabei keine Rolle gespielt. Offenbar ist also nur gerade das konkrete Angebot ohne die betreffende Datenbearbeitung eine «Alternative». Das liefe im Ergebnis auf einen
datenschutzrechtlichen Kontrahierungszwang hinaus.
[Rz 8] Auch eine Definition der Ausdrücklichkeit i.S.v. Art. 4 Abs. 5 DSG findet sich nicht im
Schlussbericht. Der EDÖB hält aber fest, eine Einwilligung sei ausdrücklich, «wenn die Zustimmung der betroffenen Person sich ausdrücklich auf die Bearbeitung dieser Daten bezieht».16 Dies
erfordert dem EDÖB zufolge, dass die Kunden bereits die Möglichkeit haben, einzelnen Datenbearbeitungen zuzustimmen oder diese abzulehnen. Es wäre demnach nicht ausreichend, dem Kunden die Zustimmung zu AGB nur gewissermassen «en bloc» zu ermöglichen, verbunden mit einer
späteren Opt-out-Möglichkeit, denn hier ergebe sich die Einwilligung nur implizit.17 In früheren
Publikationen hat der EDÖB das Ausdrücklichkeitserfordernis demgegenüber als ein formelles Erfordernis betrachtet und im Ergebnis einen Opt-in-Vorgang verlangt.18 Er hat soweit ersichtlich
aber nie vertreten, die ausdrückliche Einwilligung müsse sich jeweils gerade auf die betreffende
Datenbearbeitung und nichts anderes beziehen. Damit stellt sich die Frage, wie spezifisch eine
Einwilligung sein muss, um noch als ausdrücklich gelten zu können. Anders formuliert: Kann eine
Einwilligung in eine umfassende Datenschutzerklärung oder in AGB überhaupt ausdrücklich sein,
und wie granular muss die Einwilligungserklärung sein, um noch als ausdrücklich gelten zu können?
12
Schlussbericht PostFinance, 20.
13
Schlussbericht PostFinance, 11.
14
Schlussbericht, 23. Das Rechtsprechungszitat ist nicht ganz richtig; gemeint ist das Urteil A-3908/2008 (BVGE 2009/44 – KSS Schaffhausen; dazu Rz. 16).
15
Schlussbericht PostFinance, 24.
16
Schlussbericht PostFinance, 24.
17
Schlussbericht PostFinance, 24 f.
18
EDÖB, Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem vom 16. Juli 2008,
Anhang vom 10. März 2010, Ziff. a.1 (die Einwilligung ist ausdrücklich, wenn «die «betroffene Person» das
gelieferte Dokument eigenhändig oder elektronisch unterschrieben hat»); Tätigkeitsbericht 2003/2004, 43
(«Von der ausdrücklichen Einwilligung unterscheidet sich die konkludente dadurch, dass sie sich aus den gesamten Umständen erkennbar und offenkundig ergibt»); Tätigkeitsbericht 2009/2010, 34 («mündlich oder
schriftlich»).
4
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
2.3.
Exkurs: Fragwürdige Ausführungen zum Begriff besonders schützenswerter Personendaten und zur Datenrichtigkeit
[Rz 9] Der Schlussbericht des EDÖB enthält mehrere fragwürdige Aussagen. Obwohl diese nicht mit
der Wirksamkeit einer Einwilligung in Zusammenhang stehen, seien dazu Bemerkungen erlaubt.
Beispielsweise beurteilt der EDÖB die bearbeiteten Personendaten als nicht besonders schützenswert, obwohl sie Angaben etwa über den Gesundheitszustand enthalten können, weil der Kontext
ihrer Bearbeitung nur zu einer geringen Gefährdung der betroffenen Personen führe und diese
Daten daher «nicht zu besonders schützenswerten Personendaten verdichtet» werden. Der EDÖB
scheint also der Auffassung zu sein, die Qualifikation eines Personendatums als besonders schützenswert verlange eine Einschätzung der Gefährdungslage im konkreten Verwendungszusammenhang.
Dies widerspricht der Legaldefinition von Art. 3 lit. c DSG: Im Wortlaut der Definition findet
sich keine Stütze für eine Gefahrenanalyse im Einzelfall, und eine solche stünde auch im Widerspruch zum Umstand, dass das Gesetz einen abschliessenden Katalog besonders schützenswerter
Personendaten enthält. In der Lehre wird eine relative, risikobasierte Definition denn auch nicht
vertreten,19 auch wenn die abstrakte Begriffsbestimmung kritisiert wird.20 Und auch die Rechtsfolgen, die das DSG an die Qualifikation eines Personendatums knüpft, sind von den konkreten
Umständen unabhängig.21 Es drängt sich fast der Eindruck auf, der EDÖB habe Überlegungen,
die bei der Qualifikation eines Persönlichkeitsprofils relevant sind, versehentlich auf jene besonders
schützenswerter Personendaten angewandt.22
[Rz 10] Abzulehnen ist auch die Meinung, der Grundsatz der Datenrichtigkeit sei verletzt, weil den
in Bicicletta berechneten Affinitäten «eine gewisse Ungenauigkeit inhärent» sei.23 Es trifft zwar
zu, dass ein Affinitätswert eine Wahrscheinlichkeitsaussage enthält; der EDÖB zieht daraus aber
die falschen Schlüsse: Eine Wahrscheinlichkeitsaussage wird durch das Eintreten eines unwahrscheinlichen Falls weder ungenau noch unrichtig. Deshalb werden Wahrscheinlichkeitsaussagen wie
beispielweise ein Rating i.d.R. als Werturteil beurteilt, das nicht falsch, sondern höchstens unvertretbar sein kann.24 Der EDÖB hält ja selbst fest, dass es nicht möglich ist, sich über die
Richtigkeit einer Wahrscheinlichkeitsaussage zu vergewissern, wie es Art. 5 DSG verlangt wird.25
Darf daraus aber nicht geschlossen werden, der Richtigkeitsgrundsatz sei verletzt; er ist vielmehr
19
Im Gegenteil; vgl. David Rosenthal, in: Rosenthal/Jöhri (Hrsg.), Handkommentar zum Datenschutzgesetz,
Zürich 2008 (zit. Handkommentar), Art. 3 N 42; Belser/Noureddine, in: Eva Maria Belser/Astrid Epiney/Bernhard Waldmann (Hrsg.), Datenschutzrecht, Bern 2011, § 7 Rz. 44; Philippe Meier, Protection des
données – Fondements, principes généraux et droit privé, Bern 2010, 3 Rz. 469; Gabor P. Blechta, in: Urs
Maurer-Lambrou/Gabor P. Blechta (Hrsg.), Basler Kommentar Datenschutzgesetz und Öffentlichkeitsgesetz,
Basel 2014, Art. 3 N 30; Beat Rudin, in: Baeriswyl/Pärli (Hrsg.), Datenschutzgesetz (DSG), Bern 2015 (zit.
SHK DSG-Bearbeiter/-in), Art. 3 N 22.
20
Etwa von SHK DSG-Rudin, a.a.O., oder von Amedéo Wermelinger und Daniel Schweri, Teilrevision des
Eidgenössischen Datenschutzrechts – Es nützt nicht viel, schadet es etwas?, Jusletter vom 3. März 2008, Rz.
7.
21
So etwa das Erfordernis der ausdrücklichen Einwilligung, Art. 4 Abs. 5; die Pflicht, eine Datensammlung
anzumelden, Art. 11a und Art. 4 Abs. 1 lit. a und g VDSG; die Pflicht, ein Bearbeitungsreglement zu erstellen, Art. 11 VDSG; das Verbot der Drittbekanntgabe, Art. 12 Abs. 2 lit. c; der Wegfall des Rechtfertigungsgrunds nach Art. 13 Abs. 2 lit. c; die Informationspflicht bei der Beschaffung, Art. 14.
22
Das Bundesgericht verwendet z.B. den Ausdruck der «Verdichtung» bei der Prüfung, ob ein Persönlichkeitsprofil vorliege (BGE 138 III 346 E. 8.2 – Street View). Im Schlussbericht erscheint dieser Begriff im Zusammenhang mit besonders schützenswerten Personendaten (S. 8).
23
Schlussbericht PostFinance, 20.
24
Dazu David Vasella, Haftung von Ratingagenturen, Zürich 2011, Rz. 280 ff., 292 ff.
25
Schlussbericht PostFinance, 20.
5
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
nicht anwendbar. In Frage käme höchstens eine (direkte oder analoge) Anwendung, wenn eine
Wahrscheinlichkeitsaussage unhaltbar ist, z.B. wenn sie auf der Grundlage unrichtiger Grunddaten oder in einem untauglichen oder kompromittierten Verfahren bestimmt wurde (was bei der
PostFinance aber nicht zur Diskussion stand).
[Rz 11] Nur am Rande sei erwähnt, dass der EDÖB seine Ansicht wiederholt, wonach die Rechtfertigung der Verletzung eines Bearbeitungsgrundsatzes «nur mit besonderer Zurückhaltung» anzunehmen sei.26 Diese Auffassung, der allerdings auch das Bundesgericht folgt,27 ist abzulehnen.28
[Rz 12] Der EDÖB überspannt die Anforderungen an den Datenschutz. Gerade im vorliegenden
Beispiel sind Gefahren für die betroffenen Personen nicht ersichtlich. Dass die Berechnung von
Kaufaffinitäten die Persönlichkeitsentfaltung spürbar behindert – oder sogar «ganz wesentlich beeinträchtigt»29 – ist alles andere als naheliegend. Wenn der EDÖB den betroffenen Personen so
wenig Selbstbestimmung zutraut, ritzt er gerade dadurch ihr Selbstbestimmungsrecht. Man schützt
nicht, was man nicht achtet.
[Rz 13] Im vorliegenden Fall haben die Erwägungen des EDÖB jedenfalls dazu geführt, dass die
Zulässigkeit von Bicicletta von einer Rechtfertigung abhängig war. Der EDÖB hat deshalb geprüft,
ob eine wirksame Einwilligung vorliegt (weshalb er nicht auch andere Rechtfertigungsgründe prüft,
geht aus dem Schlussbericht nicht hervor), was zum eigentlichen Thema zurückführt.
3.
Zur Freiwilligkeit einer Einwilligung
3.1.
Grundsatz
[Rz 14] Eine Einwilligung ist auch im Datenschutzrecht nur als freiwillige Einwilligung wirksam
(Art. 4 Abs. 5 DSG).30 Unfreiwillig ist eine Einwilligung nach der datenschutzrechtlichen Rechtsprechung des Bundesgerichts31 , nach den Materialien32 und der wohl herrschenden Ansicht33 in
der datenschutzrechtlichen Literatur insbesondere dann, wenn bei einer Verweigerung Nachteile
drohen, die mit dem Bearbeitungszweck in keinem sachlichen Zusammenhang stehen oder aus an-
26
Schlussbericht PostFinance, 6 und 23.
27
BGE 136 II 508 E. 5.2 – Logistep.
28
Näher David Vasella, Social Media und Datenschutz, in: Staffelbach/Keller (Hrsg.), Social Media und
Recht für Unternehmen, Zürich 2015 (zit. Social Media), Rz. 7.53 m.w.N.
29
Schlussbericht PostFinance, 9.
30
Dasselbe gilt selbstverständlich allgemein (vgl. Raphaël Haas, Die Einwilligung in eine Persönlichkeitsverletzung nach Art. 28 Abs. 2 ZGB, Luzern 2007, Rz. 727 ff.).
31
BGE 138 I 331 E. 7.4.1 («Jedoch kann die alleinige Tatsache, dass eine Verweigerung einen Nachteil für die
betroffene Person nach sich zieht, die Gültigkeit der Zustimmung nicht beeinträchtigen. Dies wäre nur dann
der Fall, wenn dieser Nachteil keinen Bezug zum Zweck der Bearbeitung hat oder diesem gegenüber unverhältnismässig ist […]»).
32
Botschaft zur Änderung des Bundesgesetzes über den Datenschutz (DSG) und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkommen zum
Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung vom 19. Februar 2003, BBl 2002, 2101 ff. (im Folgenden «Botschaft 2003»), 2127; Bundesamt für Justiz, Bundesgesetz über den Datenschutz, Änderung vom 24.
März 2006: Häufig gestellte Fragen zur Umsetzung bei der Datenbearbeitung durch Private, 30. November
2007, Ziff. 33.
33
Rosenthal, Art. 4 N 95; BSK DSG/BGÖ-Maurer-Lambrou/Steiner, Art. 4 N 16f; Astrid Epiney/Daniela Nüesch, Allgemeine Grundsätze der Datenbearbeitung, in: Nicolas Passadelis/David Rosenthal/Hanspeter Thür, Datenschutzrecht, Basel 2015, § 3 Rz. 3.6; Meier, § 4 Rz. 853; Christian Drechsler,
Die Revision des Datenschutzrechts, AJP 2007, 1473; ähnlich SHK DSG-Baeriswyl, Art. 4 N 66.
6
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
deren Gründen unverhältnismässig sind. Nach einer anderen, auch im Schlussbericht PostFinance
verwendeten Formulierung ist eine Einwilligung unfreiwillig, wenn der einwilligenden Person keine
zumutbare Handlungsalternative zur Verfügung steht.34 Ferner besteht ein Konnex zur Aufklärung
über die Tragweite der Einwilligung: Ist diese Aufklärung ungenügend, ist die Einwilligung nicht
«informiert» und damit auch nicht freiwillig.35 Auf die Anforderungen an die Information wird
vorliegend nicht weiter eingegangen.
3.2.
Kein datenschutzrechtlicher Kontrahierungszwang
[Rz 15] Fraglich ist vor dem Hintergrund des Schlussberichts PostFinance in erster Linie, ob eine Einwilligung überhaupt freiwillig sein kann, wenn sie Voraussetzung für den Zugang zu einer
Leistung ist; beispielsweise bei Diensten, die sich über zielgerichtete Werbung finanzieren. Eine
Einwilligung kann hier z.B. dann erforderlich sein, wenn besondere Personendaten an Dritte weitergegeben werden sollen (Art. 12 Abs. 2 lit. c DSG) oder wenn bereits erhobene Personendaten
für neue Funktionen verwendet werden sollen, die eine weitergehende Datenbearbeitung mit sich
bringen (Art. 4 Abs. 3 und 4 DSG). Wäre eine solche Einwilligung unfreiwillig, könnte die entsprechende Datenbearbeitung nur noch durch ein – wohl zumeist fehlendes – überwiegendes Interesse
gerechtfertigt werden.
[Rz 16] In der Literatur wird in der Tat vertreten, dass die Freiwilligkeit entfällt oder zumindest
fraglich ist, wenn ein Dienst ohne die Einwilligung nicht genutzt werden kann.36 Darauf läuft
auch der Entscheid KSS Schaffhausen des Bundesverwaltungsgerichts hinaus: Die Einwilligung in
die Bearbeitung biometrischer Daten als Voraussetzung eines günstigeren Abonnements bei einem Schwimmbad war nicht freiwillig, obwohl andere Schwimmbäder ohne biometrische Erfassung
existieren.37 Auch der EDÖB folgt einer strengen Linie. 2014 hielt er fest, die Einwilligung in
Nutzertracking in einem Einkaufszentrum sei nicht freiwillig, wenn die einzige Alternative darin
bestehe, das Einkaufszentrum nicht zu betreten.38 Dieselbe Aussage findet sich im Tätigkeitsbericht 2013/2014,39 und der EDÖB postuliert auch in seiner Umsetzungshilfe e-commerce ein Recht,
der Erstellung von Profilen oder der Weitergabe von Daten zu widersprechen. Im Schlussbericht
PostFinance verlangt der EDÖB nun ebenfalls, dass die E-Finance-Dienstleistung von PostFinance auch ohne Marketingprofilierung angeboten wird. Und auch der Entwurf der DatenschutzGrundverordnung (DSGV) steht der Kopplung eines Dienstes an eine Einwilligung zumindest skeptisch gegenüber: Nach Art. 7 Ziff. 4 DSGV in der Fassung des Parlaments (und anders als in den
Fassungen der Kommission und des Rats) ist eine Einwilligung unwirksam, wenn die Erfüllung
eines Vertrags oder die Erbringung einer Dienstleistung von der Einwilligung in eine Bearbeitung abhängig gemacht wird, die für die betreffende Datenbearbeitung nicht erforderlich ist.40 Die
34
BSK DSG/BGÖ-Rampini, Art. 13 DSG N 6; Heinz Hausheer, Die Genanalyse zu Identifizierungszwecken
im Straf-, Zivil- und Verwaltungsrecht, ZSR 117/1998, 458; so auch das Bundesverwaltungsgericht in BVGE
44/2009 E. 4.2 (letztlich aber offengelassen).
35
Vgl. Haas, Rz. 585; ferner – im Bereich des Arztrechts, wo die Aufklärungspflicht besondere Bedeutung hat –
, Walter Fellmann, in: Moritz W. Kuhn/Tomas Poledna, Arztrecht in der Praxis, 2. Aufl. 2007, 167 ff.
36
Roland Mathys/Christian Meier, Tracking – rechtliche Standortbestimmung, digma 2014/4, 156 ff., 158.
37
BVGE 2009/44, E. – KSS Schaffhausen.
38
EDÖB, Personentracking, http://is.gd/8EqIkU.
39
EDÖB, TB 2013/2014, 60.
40
Vgl. die Synopse des Bayrischen Landesamts für Datenschutzaufsicht, http://is.gd/MvQpFt.
7
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
Erforderlichkeit ist dabei gemäss Art. 6 Abs. 1 lit. b DSGV und Erwägungsgrund 33 nicht kommerziell zu bestimmen, sondern nach der sachlichen Notwendigkeit. Dass ein Dienst nur mit einer
einwilligungsbedürftigen Datenbearbeitung zu finanzieren ist, genügt daher möglicherweise nicht.
[Rz 17] So grosse Strenge erscheint nicht gerechtfertigt. Wer eine Leistung in Anspruch nehmen
möchte, neigt gewiss dazu, damit verbundene Datenbearbeitungen zu akzeptieren Kompromisse
werden aber in allen Lebensbereichen geschlossen. Weshalb sollte dies bei Datenbearbeitungen
anders sein soll? Die Grenze der Freiwilligkeit ist daher anderswo zu ziehen, und es ist kein Anlass ersichtlich, dafür eigene datenschutzrechtliche Kriterien zu entwickeln. Nach kartellrechtlichen
Gesichtspunkten etwa wäre die Freiwilligkeit wohl erst zu verneinen, wenn für eine Leistung kein
zumutbarer Ersatz zu beschaffen ist. In ähnlicher Weise hat das Bundesgericht einen privatrechtlichen Kontrahierungszwang nur für den Fall bejaht, dass aufgrund einer starken Machtstellung des
Anbieters zumutbare Ausweichmöglichkeiten fehlen. Davon ist aber erst dann auszugehen, wenn
nur ein einziger Anbieter existiert oder die Anbieter sich koordiniert verhalten.41 Andernfalls darf
der Zugang zu einem Produkt oder einer Leistung verweigert werden. Dasselbe gilt auch etwa
nach Rz. 39 des FINMA-Rundschreibens Outsourcing (RS 2008/7): Ein Bankkunde hat keinen
Anspruch darauf, dass seine Kundendaten nicht ins Ausland übermittelt werden. Verweigert er
seine Einwilligung, bleibt ihm nur der Abbruch der Geschäftsbeziehung.42 Im allgemeinen Persönlichkeitsrecht gilt sodann, dass die Freiwilligkeit einer Einwilligung erst dann entfällt, wenn die
Entscheidungsfreiheit z.B. aufgrund von Abhängigkeiten wesentlich eingeschränkt ist.43
[Rz 18] Im Datenschutzrecht sollte nichts anderes gelten, so dass die Freiwilligkeit erst dann entfallen kann, wenn für eine bestimmte Leistung keine Alternative ohne die entsprechende Datenbearbeitung zur Verfügung steht. Dies ist auch die Haltung der herrschenden Lehre. Freiwilligkeit fehlt
danach erst , wenn ein Anbieter marktbeherrschend ist oder wenn relevante soziale oder faktische
Abhängigkeiten bestehen.44 Dies kann dann der Fall sein,
• wenn ein Ersatzangebot nicht existiert;
• wenn der Wechsel zu einem Ersatzangebot mit unverhältnismässigem Aufwand verbunden wäre, was etwa bei einer drohenden Entlassung oder der drohenden Kündigung einer Mietwohnung
in Frage kommt, vielleicht aber auch beim drohenden Verlust des Zugangs zu einem Internetdienst, wenn dadurch ein aufwendig angelegtes Nutzerprofil verloren würdeginge (in diesem
Zusammenhang ist bemerkenswert, dass der Entwurf der DSGV ein Recht auf Datenportabilität vorsieht (Art. 18 DSGV i.d.F. der Kommission);
• wenn Ersatz nicht zu zumutbaren Konditionen zu beschaffen ist, etwa weil die Alternativangebote zu überrissenen Preisen angeboten werden oder weil alle Alternativen nur unter der
Bedingung der Einwilligung in dieselbe, unverhältnismässige Datenbearbeitung verfügbar sind.
[Rz 19] Das kann aber nicht das einzige Kriterium der Freiwilligkeit sein. In vielen Fällen sind
bestimmte Datenbearbeitungen mit einem Dienst aus guten Gründen verbunden. Ein Beispiel dafür
sind Dienste wie etwa Facebook: Die Nutzerprofilierung dient dazu, den Dienst zu finanzieren. Die
Auswertung des Nutzerverhaltens ist daher keine Schikane, sondern aus kommerziellen Gründen
41
BGE 129 III 35 E. 6.3 – Post/VgT.
42
Darauf weist Rosenthal zu Recht hin (Art. 4 DSG N 97).
43
Haas, Rz. 737.
44
Lukas Bühlmann/Michael Schüepp, Marketing und Internet – datenschutzrechtliche Aspekte, in: in: Nicolas Passadelis/David Rosenthal/Hanspeter Thür, Datenschutzrecht, Basel 2015, Rz. 19.53/58 f.; vgl. auch
Meier, Rz. 856.
8
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
mit dem Dienst verbunden: Der Nutzer «zahlt» mit Daten, was sehr wohl in seinem Interesse
liegen kann. Es ist nicht Aufgabe des Datenschutzrechts, solche Geschäftsmodelle zu verbieten
– das Datenschutzrecht soll die Selbstbestimmung über Personendaten sichern, nicht verhindern.
Eine Nutzerprofilierung sollte daher im Grundsatz zulässig sein (d.h. die Einwilligung sollte nicht
von vornherein ausgeschlossen werden); zumindest dort, wo ein Angebot kostenlos oder unterpreisig
ist. Ähnliches gilt für die Bearbeitung von Kreditkartendaten: Die Einwilligung in die Überprüfung
der Kreditwürdigkeit ist freiwillig, obwohl eine Kreditkarte anders nicht erhältlich ist.45 Solange
eine Datenbearbeitung in einem vernünftigen Zusammenhang mit der betreffenden Leistung steht,
ist die Einwilligung in diese Bearbeitung daher nicht grundsätzlich unfreiwillig.46
[Rz 20] Im Ergebnis entfällt die Freiwilligkeit der Einwilligung in eine Datenbearbeitung nach hier
vertretener Auffassung erst dann, wenn
1. die betreffende Datenbearbeitung in keinem vernünftigen Verhältnis zur betreffenden Leistung
steht und zudem
2. Ersatz für die betroffene Leistung fehlt oder nicht auf zumutbare Weise beschafft werden kann.
4.
Zur Ausdrücklichkeit einer Einwilligung
[Rz 21] Wie erwähnt (Rz. 3) bestehen im Grundsatz keine formellen Anforderungen an Einwilligungserklärungen. Wenn sich eine Einwilligung aber auf die Bearbeitung besonders schützenswerter Personendaten oder von Persönlichkeitsprofilen bezieht,47 muss sie nach Art. 4 Abs. 5 DSG
«ausdrücklich» erfolgen. Dabei ist nicht klar, was Ausdrücklichkeit bedeutet.
4.1.
Das Verständnis der «Ausdrücklichkeit» nach dem EDÖB
[Rz 22] Zumindest nach der früher Auffassung des EDÖB bedeutet «ausdrücklich i.S.v. Art. 4
Abs. 5 DSG soviel wie «nicht konkludent». Dies hat der EDÖB wiederholt in ähnlicher Weise
festgehalten.48 Laut dem Bundesamt für Justiz kann eine ausdrückliche Einwilligung sodann in
Schriftform, aber auch auf elektronischem Weg erfolgen,49 was auf dasselbe Verständnis schliessen
lässt.
45
Botschaft 2003 2101, 2127.
46
So auch Rosenthal, Art. 4 DSG N 95; BSK DSG-Maurer-Lambrou/Steiner, Art. 4 N 16f.
47
– und soweit die Einwilligung gerade aus datenschutzrechtlichen Gründen erforderlich ist und nicht etwa aufgrund eines vertraglichen Vorbehalts. Um eine gesetzlich nicht geforderte Einwilligung handelt es sich beispielsweise dann, wenn eine Bekanntgabe von Personendaten ins Ausland bereits durch ein «Data Transfer
Agreement» oder eine andere Garantie i.S.v. Art. 6 Abs. 2 lit. a DSG abgesichert wurde und der Bearbeiter
nur sicherheitshalber oder mit Blick auf eine «best practice» eine Einwilligung einholt. In diesen Fällen greift
das Ausdrücklichkeitserfordernis von Abs. 5 nicht.
48
Siehe oben Rz. 7 f. betr. Schlussbericht PostFinance; ferner EDÖB, Tätigkeitsbericht 2003/2004, 43 («Von
der ausdrücklichen Einwilligung unterscheidet sich die konkludente dadurch, dass sie sich aus den gesamten Umständen erkennbar und offenkundig ergibt»); Tätigkeitsbericht 2004/2005, 69; Tätigkeitsbericht
2008/2009, 128 (ausdrücklich als Gegensatz zu «implizit»); Tätigkeitsbericht 2009/2010, 34 (ausdrücklich
heisse «mündlich oder schriftlich»); Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem vom 16. Juli 2008, Anhang vom 10. März 2010, Ziff. a.1 («eigenhändige oder elektronische» Unterschrift).
49
FAQ Umsetzung, Ziff. 34.
9
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
[Rz 23] Mit dem Schlussbericht PostFinance scheint der EDÖB von dieser Auffassung abzudrücken. Die Kunden haben die geänderten AGB von PostFinance mit den Diensten E-Cockpit und
Bicicletta nämlich durch das Setzen eines Häkchens akzeptiert.50 Das müsste nach dem Gesagten
eigentlich ausdrücklich sein. Die Einwilligung bezog sich jedoch auf die gesamten AGB und nur als
Teil davon auch auf «Bicicletta». Zudem hielten die AGB fest, dass PostFinance bis zum Widerruf
der Einwilligung mit Bezug auf Bicicletta «vom Einverständnis des Kunden ausgehe». Der Kunde
konnte sein Einverständnis mit den AGB also nur gesamthaft erklären; eine feinere Abstimmung
war nur über ein nachträgliches Opt-out möglich. Laut dem Schlussbericht war dies nicht mehr
ausdrücklich.51
[Rz 24] Weshalb der EDÖB diesen Vorgang nicht als ausdrücklich beurteilt, geht aus dem Schlussbericht nicht klar hervor. Möglicherweise lag das Problem in der Formulierung der AGB. Das
«ausgehen von» klingt nach konkludenter Einwilligung. Damit haben die AGB aber nur festgehalten, dass die Einwilligung widerruflich ist und dass der Widerruf auch nur für Bicicletta erklärt
werden kann. Möglicherweise ging es dem EDÖB auch darum, die Einwilligung über AGB auszuschliessen – (auch dies) wird im Schlussbericht nicht klar. Im Folgenden ist deshalb die Ausdrücklichkeit i.S.v. Art. 4 Abs. 5 DSG näher zu untersuchen.
4.2.
Das Verständnis der «Ausdrücklichkeit» in der Literatur
[Rz 25] In der datenschutzrechtlichen Literatur wird «ausdrücklich» von der überwiegenden Lehre
als Gegenteil von «konkludent» verstanden.52 Nach Epiney etwa ist eine Einwilligung ausdrücklich,
wenn «sowohl ihr Inhalt [...] als auch die Form ausdrücklich [...] ist».53
[Rz 26] Dies entspricht dem obligationenrechtlichen Verständnis der «Ausdrücklichkeit». Nach
Art. 1 Abs. 2 OR kann die Willensäusserung «eine ausdrückliche oder stillschweigende sein». Eine Legaldefinition fehlt, doch ist «ausdrücklich» offenbar das Gegenteil von «konkludent» bzw.
«stillschweigend’54 . Im Gesetz finden sich sodann Umschreibungen: Nach Art. 74 Abs. 1 OR wird
der Erfüllungsort «durch den ausdrücklichen oder aus den Umständen zu schliessenden» Partei-
50
Schlussbericht PostFinance, 23.
51
Schlussbericht PostFinance, 25.
52
SHK DSG-Baeriswyl, Art. 4 N 69; Vasella, Social Media, Rz. 7.58; BSK DSG/BGÖ-MaurerLambrou/Steiner, Art. 4 DSG n 16h; Drechsler, 1473; Andreas Kiry/Thomas Rauch, Rechtliche Aspekte des Tele-Underwritings und des Tele-Interviewings in der Lebensversicherung – Anzeigepflichtverletzung, Vermittlerhaftung und Datenschutz, in: Stephan Fuhrer (Hrsg.) Schweizerische Gesellschaft für
Haftpflicht- und Versicherungsrecht – Festschrift zum fünfzigjährigen Bestehen, Zürich 2010, 328; Benedikt
van Spyk, Das Recht auf Selbstbestimmung in der Humanforschung, Zürich/St. Gallen 2011, 220; MarcFrédéric Schaefer, Aktuelle Fälle aus der Praxis des EDÖB – Kreditauskunfteien und die Bearbeitung von
Bonitätsdaten, in: Astrid Epiney/Thomas Probst/Nina Gammenthaler (Hrsg.), Datenverknüpfung, Problematik und rechtlicher Rahmen, Zürich 2011, 58; Epiney/Nüesch, Rz. 3.68.
53
Astrid Epiney, Besonders schützenswerte Personendaten – Zu den Anforderungen an die Rechtmässigkeit
der Bearbeitung durch öffentliche Organe im Falle des Fehlens einer gesetzlichen Grundlage, in: Alexandra
Rumo-Jungo/Pascal Pichonnaz/Bettina Hürlimann-Kaup/Christiana Fountoulakis (Hrsg.), Une empreinte
sur le Code Civil – Mélanges en l’honneur de Paul-Henri Steinauer, Bern 2013, 103; Dies., in: Eva Maria Belser/Astrid Epiney/Bernhard Waldmann (Hrsg.), Datenschutzrecht, Bern 2011, § 9 Rz. 19; vgl. auch Meier,
Rz. 899.
54
Im Folgenden wird mit Alfred Koller, Schweizerisches Obligationenrecht, Allgemeiner Teil – Handbuch
des allgemeinen Schuldrechts ohne Deliktsrecht, 3. Aufl. 2009, § 3, Rz. 124, und Ahmet Kut (in: Marc Amstutz et al. [Hrsg.], Handkommentar zum Schweizer Privatrecht, 2. Aufl. Zürich 2012 [im Folgenden «CHK»],
Art. 1 OR N 12) «konkludent» als Synonym des Oberbegriffs «schlüssiges Verhalten» verwendet, während
«stillschweigend» als Unterbegriff soviel wie «Schweigen» bedeutet.
10
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
willen bestimmt, und nach Art. 176 Abs. 3 OR kommt die externe Schuldübernahme durch eine
Annahmeerklärung zustande, die «ausdrücklich erfolgen oder aus den Umständen hervorgehen»
kann. Willensäusserungen sind demnach ausdrücklich, wenn sie offenkundig sind, so dass nicht
«auf die Umstände, unter denen die Erklärung abgegeben wurde, zurückgegriffen werden müsste».55 Eine Willenserklärung ist deshalb dann als ausdrücklich zu betrachten, wenn sie gerade die
Willensäusserung bezweckt und unmittelbar Klarheit über den Willen schafft. Dies kann primär
durch Sprache (Wort und Schrift) geschehen,56 aber auch etwa durch Kopfnicken und generell
durch ein gesellschaftlich anerkanntes oder durch die Parteien im Einzelfall vereinbartes Kommunikationsmittel.57
[Rz 27] Nach Ansicht von Rosenthal und Meier bezieht sich die «Ausdrücklichkeit» dagegen
auf den Gegenstand der Einwilligung, nicht die Art und Weise ihrer Kundgabe, so dass nur die
zur Diskussion stehende Datenbearbeitung – und nicht etwa der Vorgang der Einwilligung – klar
bestimmt sein müsste. Ausdrücklich muss danach die Information der einwilligenden Person sein;
die Tatsache der fraglichen Datenbearbeitung darf sich nicht nur implizit ergeben.58 Die Einwilligungserklärung selbst könnte auch konkludent erfolgen. Wer eindeutig auf eine Datenbearbeitung
hingewiesen wird (z.B. durch die eindeutige, inhaltlich klare Mitteilung, dass und inwiefern eine Datenschutzerklärung angepasst wird) und dies durch Weiterverwendung des entsprechenden Dienstes
konkludent akzeptiert, hätte nach der Ansicht von Rosenthal und Meier daher wohl ausdrücklich zugestimmt, nicht aber nach der herrschenden Lehre. Begründet wird diese Auffassung mit
dem französischen und dem italienischen Wortlaut von Art. 4 Abs. 5 DSG,59 mit der Anlehnung
an die Datenschutzrichtlinie60 und mit dem Gesetzeszweck, der nicht erfordere, die Einwilligung
in die Bearbeitung besonderer Personendaten strengeren Anforderungen zu unterstellen als etwa
die Einwilligung in die Preisgabe eines Geheimnisses i.S.v. Art. 321 Strafgesetzbuch (StGB), die
konkludent erfolgen kann.61
[Rz 28] In der Literatur wird sodann vereinzelt gefordert, eine ausdrückliche Einwilligung könne
nur mündlich oder schriftlich erfolgen, d.h. durch Worte.62 Das ist unzutreffend, auch wenn aus
Beweisgründen die schriftliche Form gewählt werden mag. Hätte der Gesetzgeber «schriftlich»
gemeint, hätte er das (wie in Art. 8 Abs. 5 DSG) so bezeichnet.
55
Koller, § 3 Rz. 115; ähnlich Andreas von Tuhr/Hans Peter, Allgemeiner Teil des Schweizerischen Obligationenrechts, 3. Aufl. Zürich 1974, 163; Ernst A. Kramer/Bruno Schmidlin, Berner Kommentar, Bd.
VI/1/1, Allgemeine Einleitung in das schweizerische Obligationenrecht und Kommentar zu Art. 1–18 OR,
Bern 1986, N 7.
56
BGE 121 III 31 E. 2.c.
57
von Tuhr/Peter, 163; BK-Kramer/Schmidlin, N 7; so auch Peter Gauch/ Walter R. Schluep/Jörg
Schmid/Susan Emmenegger, Schweizerisches Obligationenrecht – Allgemeiner Teil, 9. Aufl., Zürich 2008,
Rz. 180; Ingeborg Schwenzer, Schweizerisches Obligationenrecht Allgemeiner Teil, 6. Aufl., Bern 2012,
Rz. 27.09; Thomas Probst, in: Claire Huguenin/Reto M. Hilty (Hrsg.), Schweizer Obligationenrecht 2020,
Zürich 2013, Art. 1 N 4.
58
Rosenthal, Art. 4 DSG N 83; Meier, Rz. 897 ff.
59
Meier, Rz. 900.
60
Meier, Rz. 901, und Rosenthal, Handkommentar, Art. 4 DSG N 83.
61
Rosenthal, Handkommentar, Art. 4 DSG N 83.
62
So EDÖB, Leitfaden für die Bearbeitung von Personendaten im medizinischen Bereich vom Juli 2002, 18;
EDÖB, Tätigkeitsbericht 2009/2010, 34; Burkhard Schwalm, Die Bedeutung der Einverständniserklärung,
Managed Care 5/2007, zit. nach www.edoeb.admin.ch/datenschutz/00628/00665/00676/index.html (Kopfnicken genügt nicht); ähnlich Bruno Baeriswyl, «Generaleinwilligung» bei Biobanken, digma 2013, 90 («in
der Regel schriftlich»).
11
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
4.3.
Auslegung von Art. 4 Abs. 5 DSG
[Rz 29] Art. 4 Abs. 5 DSG trat am 1. Januar 2008 in Kraft,63 im Zuge der Umsetzung einerseits
des Zusatzprotokolls vom 8. November 2001 zum Übereinkommen zum Schutz des Menschen bei
der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitender Datenübermittlung64 und andererseits zweier Motionen65 . Ferner bezweckte die
Revision, punktuelle Mängel zu beheben, und zwar in Anlehnung an die Datenschutzrichtlinie.
Eine weitergehende Anlehnung an die Datenschutzrichtlinie war geprüft, aber verworfen worden.66
[Rz 30] In die Kategorie der punktuellen Änderungen fällt auch die Einführung von Art. 4 Abs. 5
DSG. Auch hier war eine Anlehnung an die Datenschutzrichtlinie (DS-RL) beabsichtigt,67 so dass
Art. 4 Abs. 5 DSG europarechtskonform auszulegen ist.68 Daher ist von der Auslegung des europarechtlichen Vorbilds auszugehen, sofern keine Abweichung von der europarechtlichen Vorgabe
festzustellen ist (dazu Rz. 32 ff.).
[Rz 31] Aus dem Vergleich von Art. 8 Abs. 2 lit. a DS-RL mit Art. 7 lit. a DS-RL folgt, dass
«ausdrücklich» nicht dasselbe ist wie «ohne jeden Zweifel». Es muss also um mehr als inhaltliche
Klarheit gehen. Dies stimmt mit der einschlägigen Stellungnahme69 der Artikel-29Datenschutzgruppe70 überein, wonach eine ausdrückliche Einwilligung eine aktive Erklärung erfordert.71 «Ausdrücklich» heisst also soviel wie «mit einer aktiven Erklärungshandlung». Diese kann
schriftlich oder mündlich erfolgen, aber auch elektronisch, z.B. durch Anklicken einer Schaltfläche.
Eine andere Auslegung wird, soweit ersichtlich, auch von der europarechtlichen Literatur nicht
anders vertreten.72 Meier verweist zwar auf eine abweichende Auslegung von Art. 8 Abs. 2 lit. a
der Richtlinie,73 führt dafür aber nur einen Beleg an und versteht diesen m.E. nicht richtig.74
63
AS 2007 4983.
64
Der Text ist abrufbar unter www.bj.admin.ch/bj/de/home/aktuell/news/2001/22.html.
65
Motion 00.3000 «Erhöhte Transparenz bei der Erhebung von Personendaten» der Kommission für Rechtsfragen des Ständerats vom 28. Januar 2000 und Motion 98.3529 «Erhöhter Schutz für Personendaten bei
Online-Verbindungen» der Geschäftsprüfungskommission des Ständerats vom 17. November 1998. Beide Motionen äussern sich nicht zur Einwilligung, so dass ihre Begründungen diesbezüglich keine Klarheit schafft.
66
Botschaft 2003 2101, 2107.
67
So auch Botschaft 2003 2101, 2117.
68
Zur europarechtskonformen Auslegung s. BGE 129 III 335 E. 6: «Nachvollzogenes Binnenrecht ist im Zweifel europarechtskonform auszulegen. [...] Die Angleichung in der Rechtsanwendung darf sich dabei nicht bloss
an der europäischen Rechtslage orientieren, die im Zeitpunkt der Anpassung des Binnenrechts durch den Gesetzgeber galt. Vielmehr hat sie auch die Weiterentwicklung des Rechts, mit dem eine Harmonisierung angestrebt wurde, im Auge zu behalten»; Wolfgang Wiegand, Zur Anwendung von autonom nachvollzogenem
EU-Privatrecht, in: Peter Forstmoser/Hans Caspar von der Crone/Rolf H. Weber/Dieter Zobl (Hrsg.), Der
Einfluss des europäischen Rechts auf die Schweiz, Festschrift für Professor Roger Zäch zum 60. Geburtstag,
Zürich 1999, 171 ff.
69
WP 29, Stellungnahme 15/2011 vom 13. Juli 2011 zur Definition von Einwilligung.
70
Die Artikel-29-Datenschutzgruppe («WP 29») ist ein Gremium mit beratender Funktion, das durch Art. 29
der Datenschutzrichtlinie geschaffen wurde und das insbesondere die in Art. 30 der Richtlinie genannten Aufgaben erfüllt, u.a. die Prüfung von Fragen bei der Umsetzung der Richtlinie im Interesse einer einheitlichen
Anwendung.
71
WP 29, Stellungnahme 15/2011, 29 f.
72
Eleni Kosta, Consent in European Data Protection Law, 2013, 248 ff., 250; Ulrich Dammann/Spiros Simitis, EG-Datenschutzrichtlinie – Kurzkommentar, Baden-Baden 1997, Art. 8 N 9; Christoph Kuner, European Data Privacy Law and Online Business, Oxford 2003, Rz. 2.40.
73
Rz. 901.
74
Meier (Rz. 901) beruft sich auf Eugen Ehmann/Marcus Helfrich, EG-Datenschutzrichtlinie – Kurzkommentar, Köln 1999, Art. 8 N 20. Daraus geht aber gerade nicht hervor, dass die Ausdrücklichkeit lediglich
12
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
[Rz 32] Die Botschaft des Bundesrats gibt keinen Anlass zu Zweifeln, dass die Ausdrücklichkeit
i.S.v. Art. 4 Abs. 5 DSG ein formelles Erfordernis ist. Er hat hierzu festgehalten, dass die Einwilligung durch konkludentes Handeln erfolgen kann, «sofern es nicht um die Bearbeitung von besonders schützenswerten Daten oder Persönlichkeitsprofilen geht».75 Der Bundesrat verweist sodann
auf S. 87 der Dissertation von Brühwiler-Frésey zum medizinischen Behandlungsvertrag,76
wo Brühwiler-Frésey die ausdrückliche Einwilligung ebenfalls als Gegenteil der konkludenten
Einwilligung erwähnt.77 Der Bundesrat verstand die Ausdrücklichkeit also als Gegenbegriff zur
stillschweigenden bzw. konkludenten Einwilligung.
[Rz 33] Auch die Auslegung nach dem Wortlaut legt keine andere Auslegung nahe. In der französischen und der italienischen Fassung spricht Art. 1 Abs. 2 OR zwar von «expresse» bzw. «espressa»,
während Art. 4 Abs. 5 DSG «explicite» bzw. «esplicito» verwendet. Meier schliesst daraus, dass
die Ausdrücklichkeit i.S.v. Art. 4 Abs. 5 DSG nicht dasselbe meinen könne wie jene bei Art.
1 Abs. 2 OR.78 Das ist m.E. jedoch aus mehreren Gründen unzutreffend. Der Gesetzgeber hat
«explicit» bzw. «esplicito» verschiedentlich als Antonym zu «stillschweigend» verwendet.79 Entgegen Meier80 ist es auch nicht zutreffend, dass neuere Gesetze mit Bezug auf Einwilligungen den
Ausdruck «explicit» nicht kennen.81 Der Gesetzgeber scheint «exprès» und «explicit» also durchaus als Synonyme zu verwenden. Drittens unterscheidet der Gesetzgeber innerhalb des DSG nur im
französischen Text zwischen «exprès» (in Art. 12 Abs. 2 lit. b) und «explicit» (in Art. 4 Abs. 5).
Nicht nur in der deutschen, sondern auch in der italienischen Fassung fehlt eine entsprechende
Unterscheidung (deutsch: jeweils «ausdrücklich»; italienisch: jeweils «esplicito»). Der Gesetzgeber
scheint die Begriffe «exprès» und «explicit» also etwas zufällig zu verwenden. Schliesslich dürfte
die Verwendung des Begriffs «explicite» statt «expresse» auf die französische Fassung der Datenschutzrichtlinie zurückgehen. Dort war mit dem Begriff «explicit» aber nicht beabsichtigt worden,
das Erfordernis der Ausdrücklichkeit auf den Gegenstand der Einwilligung zu beschränken; es ist
vielmehr anzunehmen, dass man den Begriff «expresse» vermeiden wollte, weil man befürchtete,
er könne als Schriftformerfordernis missverstanden werden.82
eine inhaltliche Anforderung stellt. Im Gegenteil erwähnen diese Autoren als Beispiele ausdrücklicher Einwilligungen nur die schriftliche und die «digitale» Einwilligung.
75
Botschaft 2003 2101, 2127, in wörtlicher Übereinstimmung mit dem Erläuternden Bericht zum Vernehmlassungsentwurf, dort S. 20 (abrufbar unter www.bj.admin.ch/bj/de/home/aktuell/news/2001/22.html).
76
Lukas Brühwiler-Frésey, Medizinischer Behandlungsvertrag und Datenrecht, Zürich 1996.
77
Botschaft 2003 2101, 2117; Lukas S. Brühwiler-Frésey, Medizinischer Behandlungsvertrag und Datenschutzrecht, Zürich 1996.
78
Meier, Rz. 900.
79
So in Art. 11c Abs. 4 PBV (dt.: «ausdrücklich bestätigt», frz.: «démarche explicite», it.: «confermata espressamente»); in der Verordnung des WBF über die biologische Landwirtschaft (SR 910.181), Art. 16a Abs. 2
lit. b (dt.: «ausdrückliche Erklärung», frz.: «déclaration explicite», it.: «dichiarazione esplicita»); in Art. 80
Abs. 1 der Verordnung des EDI über alkoholfreie Getränke (deutsch: «[...] muss dies [...] deutlich hervorgehen», frz.: «La dénomination [...] doit être explicite», it.: «deve risultare evidente») und besonders deutlich
in Art. 56 Abs. 1 lit. a PatG (dt.: «ausdrücklicher oder stillschweigender Antrag»; frz.: «demande explicite
ou implicite»; it.: «richiesta esplicita o implicita»).
80
Rz. 900.
81
Vgl. etwa das Bundesgesetz zum Schutz vor Passivrauchen, Art. 2 Abs. 2 (dt.: «mit deren ausdrücklicher
Zustimmung»; frz.: «sous réserve de leur accord explicite», it.: «previo loro esplicito consenso») oder das
SpoFöG, Art. 25 Abs. 2 (dt.: «ausdrückliche Einwilligung»; frz.: «accord explicite», it.: «esplicito consenso»);
auch wenn im GUMG wieder «exprès» bzw. «expressamente» verwendet wird (Art.19 Abs. 2 GUMG (dt.:
«ausdrückliche Zustimmung», frz.: «consentement exprès», it.: «acconsente espressamente»).
82
Vgl. WP 29, Stellungnahme 15/2011, 5.
13
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
[Rz 34] Mit Bezug auf die teleologische Auslegung vertritt Rosenthal schliesslich die Auffassung,
der Gesetzeszweck erfordere nicht, die Einwilligung in die Bearbeitung besonderer Personendaten strengeren Anforderungen zu unterstellen als etwa die Einwilligung in die Preisgabe eines
Geheimnisses i.S.v. Art. 321 StGB.83 Das leuchtet zwar ein, auch weil der Auswahl der besonders schützenswerten Personendaten (Art. 3 lit. � DSG) etwas Zufälliges anhaftet.84 Der Vergleich
zwischen Art. 4 Abs. 5 DSG mit einer (nicht dem EU-Recht nachgebildeten) Bestimmung des
schweizerischen Rechts greift aber insofern zu kurz, als sich der Gesetzgeber bei der Schaffung an
europäisches Recht angelehnt hat. Damit wurden die Wertungen, auf denen Art. 8 Abs. 2 lit. a der
Richtlinie basiert, «gleichzeitig zu Wertungen des autonom nachvollziehbaren Gesetzgebers».85
[Rz 35] Im Ergebnis ist «ausdrücklich» i.S.v. Art. 4 Abs. 5 DSG im Grundsatz daher als Antonym
zu «konkludent» bzw. «stillschweigend» zu verstehen. Dies bedeutet freilich nicht,
1. dass eine konkludente Einwilligung im Einzelfall nicht dennoch ausreichend sein kann, nämlich
dann, wenn eine entsprechende Abrede getroffen wurde (Rz. 37 ff.); und
2. dass besondere Anforderungen an die der Einwilligung vorangehende Information bestehen,
wenn der Bearbeitungsvorgang besondere Risiken für den Einwilligenden bewirkt. Dies kann
bei besonderen Personendaten zutreffen, aber nicht nur dann: Die Bearbeitung besonderer
Personendaten kann harmlos sein, und umgekehrt können bei der Bearbeitung gewöhnlicher
Personendaten besondere Risiken bestehen.
4.4.
Konkretisierung durch Parteivereinbarung?
[Rz 36] Im Grundsatz wird selbst Schweigen als ausdrückliche Zustimmung anerkannt, sofern die
Parteien dies zuvor so vereinbart haben.86 Gilt dies auch nach Art. 4 Abs. 5 DSG? Es spricht
nichts dagegen. Art. 4 Abs. 5 DSG zielt auf den Schutz der betroffenen Person, und es besteht kein
Grund zur Annahme, das Ausdrücklichkeitserfordernis bezwecke Verkehrssicherheit (und müsse
deshalb auf Anliegen Dritter Rücksicht nehmen); sonst wäre das Ausdrücklichkeits- durch ein
Textformerfordernis zu ersetzen. Deshalb ist selbst das Schweigen einer Partei «ausdrücklich», wenn
eine wirksame Vereinbarung dem Schweigen die Bedeutung einer Zustimmung verleiht. Dem stünde
eine zwingende Natur von Art. 4 Abs. 5 DSG nicht entgegen, denn das Ausdrücklichkeitserfordernis
wird durch eine solche Vereinbarung nicht derogiert, sondern präzisiert.
[Rz 37] Selbstverständlich müsste eine «Ausdrücklichkeits-Klausel» ihrerseits wirksam vereinbart
werden. Findet sie sich in AGB, dürfte sie daher weder ungewöhnlich sein, was nach den konkreten
Umständen zu entscheiden ist, noch – soweit Konsumenten betroffen sind – gegen Art. 8 UWG verstossen. Mit Bezug auf Art. 8 UWG wird eine Klausel als wirksam betrachtet, wonach Schweigen
auf einen Antrag während einer bestimmten Zeit als Zustimmung zu den beantragten Änderungen
gilt; eine Standardklausel im Massengeschäft.87 Eine «Ausdrücklichkeits-Klausel» wäre dem ver-
83
Rosenthal, Handkommentar, Art. 4 DSG N 83.
84
Spiros Simitis, «Sensitive Daten» – Zur Geschichte und Wirkung einer Fiktion, in: Ernst Brem/Ernst A.
Kramer/Jean Nicolas Druey (Hrsg.), Festschrift zum 65. Geburtstag von Mario M. Pedrazzini, Bern 1990,
469 ff.
85
Wiegand, 187 f.
86
Vgl. Rz. 25 und Fn. 57.
87
Nicolas Kuonen, Le contrôle des conditions générales: L’envol manqué du Phénix, SJ 2014 II, 14 ff.; Ansgar Schott, Missbräuchliche Allgemeine Geschäftsbedingungen – zur Inhaltskontrolle, ST 2012, 81 f; vgl.
14
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
gleichbar. Es besteht deshalb kein Grund, eine solche Klausel AGB-rechtlich nicht zuzulassen. Zu
fordern wäre aber,88
1. dass eine solche Vereinbarung inhaltlich ausreichend klar ist (was aber nicht erfordert, dass
sich der Änderungsmechanismus ausdrücklich auch auf Einwilligungen in Datenbearbeitungen
bezieht);
2. dass die Mitteilung der betreffenden Datenbearbeitung im konkreten Fall ausdrücklich erfolgt
und unmissverständlich ist und
3. dass die Beendigungsmöglichkeit im Fall eines Widerspruchs gegen die geplante Datenbearbeitung eine effektive ist, d.h. dass sie nicht in unzumutbarer Weise erschwert ist.
[Rz 38] Dagegen ist kaum erforderlich, dass die Ausdrücklichkeitsklausel ihrerseits ausdrücklich
vereinbart wurde, d.h. mit einer aktiven Erklärungshandlung. Sie kann u.U. auch konkludent vereinbart werden.89
4.5.
Ausdrückliche Einwilligung durch Zustimmung zu AGB?
[Rz 39] Fraglich ist sodann, ob eine ausdrückliche Einwilligung auch in AGB erfolgen kann (d.h.
ob eine Einwilligung durch Zustimmung zu AGB bzw. einer Datenschutzerklärung ausdrücklich
erklärt werden kann). In der Literatur wurde diese Frage schon verneint, allerdings ohne nähere
Begründung,90 und der Schlussbericht PostFinance scheint ebenfalls in diese Richtung zu gehen
(Rz. 7).
[Rz 40] Gegen diese Auffassung und für die Zulassung einer ausdrücklichen Einwilligung auch in
AGB spricht die Überlegung, dass das AGB-Recht – das auf Datenschutzerklärungen wenigstens
analog anwendbar ist91 – über eigene und ausreichende Mittel verfügt, um das Einverständnis
der akzeptierenden Partei sicherzustellen. Insbesondere ist nach der Ungewöhnlichkeitsregel auf
objektiv ungewöhnliche Bestimmungen gesondert aufmerksam zu machen; andernfalls darf der
Verwender nicht davon ausgehen, die Zustimmung zu den AGB gelte auch für diese ungewöhnlichen Bestimmungen.92 Demnach kann eine global erklärte Einwilligung Datenbearbeitungen nicht
rechtfertigen, mit denen die betroffene Person nicht zu rechnen hatte und auf sie nicht besonders
hingewiesen wurde. Andernfalls, d.h. wenn eine bestimmte Bearbeitung entweder offenkundig ist
oder wenigstens besonders hervorgehoben wurde – und zwar so, dass mit ihrer Kenntnisnahme
auch wirklich zu rechnen ist – ist aber kein Grund ersichtlich, eine globale Einwilligung durch
auch Ziff. 2 lit. c des Anhangs der Klausel-Richtlinie (Richtlinie 93/13/EWG des Rates vom 5. April 1993
über mißbräuchliche Klauseln in Verbraucherverträgen), der sog. «Grauen Liste», die in der Schweiz als Auslegungsmittel voraussichtlich eine gewisse indirekte Bedeutung erlangen wird («Buchstabe j) steht ferner
Klauseln nicht entgegen, durch die sich der Gewerbetreibende das Recht vorbehält, einseitig die Bedingungen eines unbefristeten Vertrages zu ändern, sofern es ihm obliegt, den Verbraucher hiervon rechtzeitig in
Kenntnis zu setzen, und es diesem freisteht, den Vertrag zu kündigen»).
88
Kuonen, 15 f.
89
Vgl. Rosenthal, Handkommentar, Art. 4 DSG N 81: In einem besonderen Vertrauensverhältnis ist u.U.
nicht mit einer ausdrücklichen Einwilligung (zu der er allerdings auch konkludente Einwilligungen zählt; dazu
Rz. 26) zu rechnen und genügt ausnahmsweise eine andere Form der Einwilligung.
90
Nicole Beranek Zanon/Carmen de la Cruz Böhringer, Datenschutz in der Telekommunikationsbranche,
in: Nicolas Passadelis/David Rosenthal/Hanspeter Thür, Datenschutzrecht, Basel 2015, Rz. 9.76 und Rz.
9.86.
91
Vasella, Rz. 7.61 m.w.H.
92
Vgl. BGE 138 III 411 E. 3.1.
15
David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16.
November 2015
aktives Handeln als nicht ausdrücklich zu werten. Wird bei einer elektronisch eingeholten Einwilligung auf eine separate Datenschutzerklärung verlinkt, kann es sich – je nach Art der betreffenden
Datenbearbeitung – daher empfehlen, auf kritische Datenbearbeitungen direkt neben dem Link
(und nicht erst in der Datenschutzerklärung selbst) besonders hinzuweisen.
5.
Ergebnisse
[Rz 41] Die Ergebnisse der vorstehenden Überlegungen lassen sich wie folgt zusammenfassen:
a. Eine Einwilligung in eine Datenbearbeitung als Voraussetzung einer Leistung ist unfreiwillig,
wenn zwischen der Datenbearbeitung und der Leistung kein ausreichender Zusammenhang besteht und zudem kein Ersatz für die betreffende Leistung auf zumutbare Weise zu beschaffen
ist. Besteht der erforderliche Zusammenhang und ist Ersatz zu beschaffen, so wird die Einwilligung folglich nicht schon allein dadurch unfreiwillig, dass sie Bedingung für den Zugang zu
einer Leistung ist.
b. «Ausdrücklich» ist eine Einwilligung grundsätzlich dann, wenn sie nicht konkludent erfolgt,
sondern durch eine aktive Handlung, also durch «Opt-in», nicht lediglich fehlendes «Optout»93 .
c. Ausdrücklich können z.B. folgende Einwilligungserklärungen sein:
•
•
•
•
•
Gesten, z.B. Kopfnicken oder eindeutige Handzeichen;
schriftliche Einwilligungserklärung;
mündliche Einwilligungserklärung;94
Anklicken einer Checkbox auf einer Internetseite;95
Anklicken einer Schaltfläche wie etwa «weiter» bei einem Internetformular.96
d. Dabei muss zwischen der Erklärungshandlung (z.B. der Checkbox) und dem Erklärungsgegenstand (z.B. der Datenschutzerklärung) ein unmittelbarer Zusammenhang bestehen, so dass die
Bedeutung des betreffenden Vorgangs offenkundig ist.
e. Nicht ausdrücklich ist eine konkludente Einwilligung, etwa durch die weitere Inanspruchnahme
eines Dienstes nach Mitteilung einer entsprechenden Änderung der AGB.
f. Ausdrücklich ist aber jedes Verhalten, das zuvor (wirksam) als Ausdruck der Zustimmung oder
Einwilligung vereinbart worden ist, ggf. auch die Weiterbenutzung eines Dienstes.
Dr. iur. David Vasella, Rechtsanwalt bei FRORIEP in Zürich, Lehrbeauftragter der Universität
Zürich
93
So ausdrücklich auch Art. 11 Abs. 4 PBV: «ausdrücklich bestätigt [...] («Opt-in»)»; gl.A. Drechsler, 1473.
94
WP 29, Stellungnahme 15/2011, 29., 22 und 35; EDÖB, Tätigkeitsbericht 2009/2010, 34.
95
WP 29, Stellungnahme 15/2011, 22 (mit dem Beispiel eines Opt-in in ein Treueprogramm); Bundesamt für
Justiz, Bundesgesetz über den Datenschutz, Änderung vom 24. März 2006: Häufig gestellte Fragen zur Umsetzung […], Ziff. 34 (zit. FAQ Umsetzung); Drechsler, 1473.
96
BJ, FAQ Umsetzung, Ziff. 34.
16