Den zweiten Teil unseres Countdowns zur KDG-Novelle widmen wir der datenschutzrechtlichen Einwilligung. Gleichermaßen geliebt und gefürchtet, ist die Einwilligung oft der letzte Strohhalm, um eine Datenverarbeitung auf zugegebenermaßen wackelige Füße zu stellen. Denn so schnell, wie sie eingeholt werden kann, so schnell kann sie auch widerrufen werden; wodurch die fortgesetzte Datenverarbeitung unzulässig wird.
Kein Schriftformerfordernis mehr
Bislang stand die Wirksamkeit der Einwilligung im Gesetz über den Kirchlichen Datenschutz (KDG) unter dem Vorbehalt der Schriftform, d.h. einer händischen Erklärung der Einwilligung, zumindest mittels Unterschrift unter dem Einwilligungstext. Gerade in der zunehmenden digitalen Welt führte dies immer wieder zu Unsicherheiten, zumal der entsprechenden Regelung in Art. 7 DSGVO ebendieses Schriftformerfordernis fremd ist.
Durch die Novellierung des KDG ist dieses Schriftformerfordernis weggefallen und die Norm (§ 8 Abs. 1 KDG-neu) gleicht in ihrem Wortlaut zunehmend der des Art. 7 Abs. 1 DSGVO. Der Verantwortliche muss lediglich nachweisen, dass die betroffene Person – in welcher Form auch immer – eingewilligt hat. Kann die Einwilligung in allen erdenkbaren Varianten eingeholt werden, bspw. per E-Mail, also in Textform, aber auch im Double-Opt-in-Verfahren, das beim Newsletterversand angewendet wird, oder per Anklicken einer Checkbox auf einer Website, erleichtert dies die Arbeit beim Verantwortlichen. Gleichwohl muss dieser neue Prozesse zur Dokumentation der Erklärungen einführen, etwa durch Archivierung der E-Mails oder eine elektronische Dokumentation der angeklickten Checkboxen im Backend der Website.
Weitere Änderungen zur Einwilligung
Eine zweite wichtige Änderung betrifft die Inanspruchnahme elektronischer Dienstleistungen durch Minderjährige im Bereich der Präventions- oder Beratungsdienste. Eine solche ist bspw. die [U25] Online-Suizidprävention, eine kostenlose und vertrauliche Mailberatung für unter 25-Jährige in (suizidalen) Krisen. Für diese Leistungen war die Einwilligung der Personensorgeberechtigten entbehrlich, wenn der Minderjährige das 13. Lebensjahr vollendet hatte. Diese starre Altersgrenze und der Einwilligungsvorbehalt sind für diesen Bereich aufgehoben, wenn andernfalls die Zielsetzung des Präventions- oder Beratungsangebots gefährdet oder diesem zuwiderlaufen würde.
Fazit
Insgesamt wird die Einholung von Einwilligungserklärungen einfacher (und DSGVO-ähnlicher). Die Herausforderung für den Verantwortlichen wird die Nachweisbarkeit sein. Hier stellt die Rechtsprechung und Kommentierung zu Art. 7 DSGVO eine breite Wissensbasis bereit, auf die man zurückgreifen kann.
Die katholischen Einrichtungen sollten die Prozesse der Einholung von Einwilligungserklärungen prüfen, insbesondere inwieweit die aktuellen Prozesse umgestellt werden können. Im Bereich der Präventions- oder Beratungsdienste ist ebenfalls der Anmeldeprozess im Hinblick auf die Inanspruchnahme durch Minderjährige zu überprüfen.