Darf ein Versicherungsunternehmen die ausdrückliche Einwilligung zur Bedingung der Leistung machen?

Murat Volkan Dülger^* / Cansu Ceren Kahraman^*

Einleitung

Das türkische Gesetz über den Schutz personenbezogener Daten (KVKK) enthält keine besondere Regelung zur ausdrücklichen Einwilligung. Der Gesetzgeber hat sich damit begnügt, die ausdrückliche Einwilligung (in allgemeinen Wendungen) zu definieren. Dies hat zu einer fehlerhaften Praxis geführt; diese Fehler hat man durch die Entscheidungen des Datenschutzausschusses (Kurul) und die Leitfäden der Datenschutzbehörde zu korrigieren versucht.

Zu den wichtigsten Entscheidungen des Datenschutzausschusses zur ausdrücklichen Einwilligung gehört zweifellos die „Treuekarten-Entscheidung“ über eine Supermarktkette. In dieser Entscheidung hat der Datenschutzausschuss ausgeführt, dass die ausdrückliche Einwilligung nicht zur Bedingung der Dienstleistung gemacht werden darf. Gegenstand der vorliegenden Arbeit ist hingegen eine Entscheidung des Datenschutzausschusses zu dem Vorwurf, ein Versicherungsunternehmen habe – wiederum – die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht. Zunächst wird auf die ausdrückliche Einwilligung und auf ihre Freiwilligkeit (sowie kurz auf die Treuekarten-Entscheidung) eingegangen; anschließend wird die Entscheidung über das Versicherungsunternehmen gewürdigt.

I. Ausdrückliche Einwilligung

Das Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK) enthält keine besondere Vorschrift über die ausdrückliche Einwilligung. Die einzige Vorschrift dazu, was unter einer ausdrücklichen Einwilligung zu verstehen ist, ist Art. 3 Abs. 1 Buchst. a des Gesetzes mit der Überschrift „Begriffsbestimmungen“. Nach dieser Vorschrift bezeichnet die ausdrückliche Einwilligung „die auf einen bestimmten Gegenstand bezogene, auf Information beruhende und aus freiem Willen erklärte Einwilligung“. Mit anderen Worten ist die ausdrückliche Einwilligung eine Einwilligung, die die folgenden Mindestmerkmale aufweist:

• Bezug auf einen bestimmten Gegenstand,

• Beruhen auf Information,

• Erklärung aus freiem Willen.

Weist die ausdrückliche Einwilligung diese Merkmale nicht auf, so kann von einer rechtmäßigen bzw. wirksamen Einwilligung keine Rede sein. Liegen neben diesen Merkmalen bei personenbezogenen Daten die Rechtsgrundlagen des Art. 5 Abs. 2 des Gesetzes¹ und bei besonderen Kategorien personenbezogener Daten die Rechtsgrundlagen des Art. 6 Abs. 3 des Gesetzes² nicht vor, so muss für die Verarbeitung der personenbezogenen Daten und/oder der besonderen Kategorien personenbezogener Daten eine ausdrückliche Einwilligung eingeholt werden.

Die ausdrückliche Einwilligung muss zunächst für einen bestimmten Gegenstand eingeholt werden. So darf beispielsweise nicht versucht werden, mit einem einzigen Einwilligungstext eine Rechtsgrundlage für die Datenverarbeitungstätigkeiten in sämtlichen Geschäftsprozessen zu schaffen. Gerade in der Praxis begegnet man häufig dem Fall, dass für zahlreiche Geschäftsprozesse eine einzige ausdrückliche Einwilligung eingeholt wird, um Papieraufwand zu vermeiden.

Bevor die ausdrückliche Einwilligung eingeholt wird, müssen die betroffenen Personen unbedingt in rechtmäßiger Weise informiert werden. Information und Einholung der ausdrücklichen Einwilligung dürfen nicht in ein und demselben Text erfolgen; die betroffenen Personen müssen informiert werden und die Möglichkeit erhalten, die ausdrückliche Einwilligung nicht zu erteilen. Andernfalls, wenn also Information und ausdrückliche Einwilligung in demselben Text enthalten sind, besteht diese Möglichkeit nicht.

Außerdem muss sichergestellt sein, dass die ausdrückliche Einwilligung aus freiem Willen erteilt wird. Es dürfen keine den Willen beeinträchtigenden Argumente vorgebracht werden, etwa dass die betroffene Person entlassen werde oder ihr die Dienstleistung nicht erbracht werden könne, wenn sie die ausdrückliche Einwilligung nicht erteilt. Die (unten näher zu würdigende) Entscheidung des Datenschutzausschusses über ein Versicherungsunternehmen betrifft genau diese zweite Konstellation.

II. Freiwilligkeit der ausdrücklichen Einwilligung

Dass die ausdrückliche Einwilligung auf dem freien Willen beruht, bedeutet, dass die betroffene Person ihre Einwilligung erteilt, ohne zu denken, sie werde einen Nachteil erleiden oder zu Schaden kommen, wenn sie die ausdrückliche Einwilligung nicht erteilt. Erteilt beispielsweise ein Beschäftigter eines Unternehmens aus Furcht vor einer Entlassung die ausdrückliche Einwilligung in die Verarbeitung seiner personenbezogenen Daten, so kann von einem freien Willen keine Rede sein. Es genügt für die Beeinträchtigung des freien Willens auch, dass man die Person diese Furcht spüren lässt (die Beweisbarkeit mag fraglich sein). So ist denn auch in der Praxis umstritten, ob die von Beschäftigten erteilten ausdrücklichen Einwilligungen aus freiem Willen erteilt werden.

Ein weiteres Beispiel für Umstände, die den freien Willen beeinträchtigen, ist es, wenn die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht wird; eben darauf bezieht sich auch die Entscheidung des Datenschutzausschusses, die den Gegenstand dieses Beitrags bildet. Bevor diese Entscheidung untersucht wird, ist zur Frage, ob die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht werden darf, auch auf die als Präzedenzfall geltende Entscheidung des Datenschutzausschusses vom 25.03.2019, Nr. 2019/82, zur Treuekartenpraxis einer Supermarktkette einzugehen.

Eine Supermarktkette hatte auf ihrer Internetseite zu der Treuekarte, die bei bestimmten Einkäufen und bei der Inanspruchnahme bestimmter Dienstleistungen Rabatte und das Sammeln von Punkten ermöglicht, folgenden Hinweis veröffentlicht: „Bitte aktualisieren Sie Ihre Zustimmung im Rahmen des Gesetzes über den Schutz personenbezogener Daten. Kunden, deren Zustimmung nicht aktuell ist, werden an unseren Kassen nicht mehr unter Angabe ihrer Mobiltelefonnummer einkaufen können, da ihre persönlichen Daten gelöscht werden.“ Daraufhin wurde bei der Datenschutzbehörde Beschwerde mit der Begründung eingelegt, die ausdrückliche Einwilligung werde zur Bedingung der Dienstleistung gemacht. Der Datenschutzausschuss hat nach der auf die Beschwerde hin durchgeführten Prüfung entschieden, dass die Einholung der ausdrücklichen Einwilligung nicht zur Bedingung der Dienstleistung gemacht worden sei: Ein Kunde, der nicht Mitglied des Treuekartenprogramms sei, könne zwar die vom Unternehmen angebotene Welt der produkt- und personenbezogenen Vorteilsangebote nicht nutzen; dies hindere jedoch keinen Kunden in irgendeiner Weise daran, die vom Unternehmen angebotene Einkaufsmöglichkeit zu nutzen.

Aus dieser Entscheidung des Datenschutzausschusses ergibt sich folgende wichtige Schlussfolgerung: Wird die Erteilung der ausdrücklichen Einwilligung zur Voraussetzung für die Gewährung von Rabatten oder die Teilnahme an Aktionen gemacht, so ist die ausdrückliche Einwilligung (weil ihre Nichterteilung die Erbringung der Dienstleistung nicht hindert) nicht zur Bedingung der Dienstleistung gemacht worden; da somit auch der freie Wille nicht beeinträchtigt ist, ist die eingeholte ausdrückliche Einwilligung (sofern sie auch die übrigen Merkmale erfüllt) wirksam und rechtmäßig.

III. Zusammenfassung der Entscheidung über das Versicherungsunternehmen

In der Beschwerdeschrift, die Gegenstand der Entscheidung ist, wurde vorgetragen, die betroffene Person habe sich an ein Versicherungsunternehmen als Verantwortlichen gewandt, um die für ihre Familie abgeschlossene Krankenversicherungspolice verlängern zu lassen; der Verantwortliche habe jedoch für die Verlängerung der Police von ihr eine ausdrückliche Einwilligung einholen wollen. Auf die Eingabe hin hat der Datenschutzausschuss eine Prüfung durchgeführt und im Ergebnis entschieden, dass die Krankenversicherungspolice Gesundheitsdaten enthalte, die zu den besonderen Kategorien personenbezogener Daten gehören, dass die in der Police enthaltenen Gesundheitsdaten nach Art. 6 Abs. 3 des Gesetzes nicht ohne ausdrückliche Einwilligung verarbeitet werden dürften, dass deshalb das Verlangen, von der betroffenen Person eine ausdrückliche Einwilligung einzuholen, keinen Verstoß gegen das Gesetz darstelle und dass hinsichtlich der Beschwerde keine nach dem Gesetz zu treffende Maßnahme veranlasst sei.

IV. Würdigung der Entscheidung

Damit Krankenversicherungspolicen erstellt und den Versicherten die Leistungen der Krankenversicherung erbracht werden können, werden neben den personenbezogenen Daten der betroffenen Personen, die unter die Kategorien „Identitätsdaten (Vorname, Nachname, türkische Identitätsnummer TCKN, Geburtsdatum, Geschlecht usw.), Kontaktdaten (Anschrift, Telefonnummer), Daten zu Kundentransaktionen (zu zahlender Betrag, Anzahl der Raten usw.)“ fallen, auch ihre besonderen Kategorien personenbezogener Daten verarbeitet, die unter die Kategorie „Gesundheitsdaten“ fallen.

Da die Beschäftigten des Versicherungsunternehmens, die die Police verlängern und die Leistungen der Krankenversicherung erbringen, nicht zu den Personen gehören, die einer Geheimhaltungspflicht unterliegen (Ärzte, Pflegekräfte usw.), und die Datenverarbeitung nicht zum Zweck des Schutzes der öffentlichen Gesundheit, der präventiven Medizin, der medizinischen Diagnostik, der Durchführung von Behandlungs- und Pflegeleistungen sowie der Planung und Verwaltung der Gesundheitsdienste und ihrer Finanzierung erfolgt, ist die Verarbeitung der Gesundheitsdaten nur möglich, wenn von der betroffenen Person eine ausdrückliche Einwilligung eingeholt wird.

Deshalb war es dem Versicherungsunternehmen im konkreten Fall nicht möglich, die Gesundheitsdaten der betroffenen Person ohne ausdrückliche Einwilligung zu verarbeiten; dass es die Police nicht verlängert hat, weil die ausdrückliche Einwilligung nicht erteilt wurde (und es die Gesundheitsdaten deshalb nicht verarbeiten konnte), ist eine rechtmäßige Vorgehensweise. Dass die betroffene Person jedoch meinte, die ausdrückliche Einwilligung werde ihr als Bedingung der Dienstleistung präsentiert, wirft Fragen hinsichtlich der Qualität der vom Versicherungsunternehmen erteilten Information auf. Bei der Information der betroffenen Personen darf man sich nicht allein darauf konzentrieren, die Mindestangaben nach Art. 10 des Gesetzes und nach der Mitteilung (Tebliğ) über die bei der Erfüllung der Informationspflicht zu beachtenden Verfahren und Grundsätze zu erfüllen. Bei der Erfüllung der Mindestangaben muss auch inhaltlich darauf abgezielt werden, dass die betroffene Person zutreffend informiert wird. Um ein Beispiel aus dem vorliegenden Fall zu geben: Die betroffene Person, die ihre Krankenversicherungspolice verlängern möchte, muss nach der Lektüre des Informationstextes wissen, warum die Gesundheitsdaten auf der Grundlage einer ausdrücklichen Einwilligung verarbeitet werden und dass die ausdrückliche Einwilligung in Wahrheit nicht zur Bedingung der Dienstleistung gemacht wird.

Auch wenn der Datenschutzausschuss dies in seiner Entscheidung nicht anspricht, besteht eines der größten Probleme der Praxis darin, dass die Informationstexte nicht von hinreichender Beschaffenheit und Qualität sind. Da die meisten Verantwortlichen in ihren Informationstexten lediglich die in den Rechtsvorschriften vorgesehenen Mindestangaben erfüllen, werden unter der Bezeichnung Informationstext Texte verwendet, die weit davon entfernt sind, die Personen zu informieren. Dabei besteht der Zweck der Informationspflicht gerade darin, dass die betroffenen Personen über ihre verarbeiteten personenbezogenen Daten unterrichtet werden. Hier müssen unter Berücksichtigung des Profils der betroffenen Personen die Inhalte der Informationstexte weiterentwickelt und ihre Qualität verbessert werden.

Leider hat sich, obwohl seit dem Inkrafttreten des Gesetzes rund fünf Jahre vergangen sind, in der Praxis das Bewusstsein für den Schutz personenbezogener Daten noch nicht vollständig herausgebildet. Dazu trägt auch bei, dass insbesondere viele der auf diesem Gebiet Tätigen die Begründungen der gesetzlichen Regelungen außer Acht lassen.

Die Anpassung an das Recht des Schutzes personenbezogener Daten muss für jeden einzelnen Verantwortlichen unter Berücksichtigung seines Tätigkeitsbereichs sowie der Art und des Umfangs der von ihm verarbeiteten Daten erfolgen. Es dürfen keine Musterinformations- und Mustereinwilligungstexte verwendet werden; vielmehr sind Informations- und Einwilligungstexte zu erstellen, die auf die Geschäftsprozesse des jeweiligen Verantwortlichen zugeschnitten sind. Darüber hinaus darf es auch dabei nicht bleiben: Die Verantwortlichen und/oder ihre Beschäftigten müssen über Kenntnisse im Recht des Schutzes personenbezogener Daten verfügen und die betroffenen Personen richtig anleiten. Möchte die betroffene Person zu den Informations- und Einwilligungstexten Fragen stellen, so müssen die Beschäftigten des Verantwortlichen, die ihr den Informations- und Einwilligungstext vorlegen, hierzu Auskunft geben können. Vielleicht wäre die Angelegenheit auch im vorliegenden Fall gar nicht vor den Datenschutzausschuss gelangt, wenn die betroffene Person durch einen qualitativ hochwertigen Informationstext unterrichtet und ihre Fragen zudem mündlich beantwortet worden wären.

V. Von Versicherungsunternehmen verarbeitete Gesundheitsdaten

Versicherungsunternehmen verarbeiten zur Erbringung der Versicherungsleistung neben den personenbezogenen Daten der betroffenen Person, die unter die Kategorien „Identitätsdaten, Kontaktdaten, Daten zu Kundentransaktionen“ fallen, auch besondere Kategorien personenbezogener Daten wie „Gesundheitsdaten“. Denn für die Erstellung der Versicherungspolice, den Abschluss des Vertrags und die Erbringung der Leistung ist die Verarbeitung personenbezogener Daten unerlässlich.

Für die Verarbeitung der personenbezogenen Daten, die unter die Kategorien Identitätsdaten, Kontaktdaten und Daten zu Kundentransaktionen fallen, bedarf es keiner ausdrücklichen Einwilligung, weil insoweit die Rechtsgrundlagen des Art. 5 Abs. 2 des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten vorliegen. Geht es dagegen um die Verarbeitung von Gesundheitsdaten, so muss zwingend eine ausdrückliche Einwilligung eingeholt werden, weil die Voraussetzungen des Art. 6 Abs. 3 nicht erfüllt sind.

Das Versicherungsunternehmen, das für die Erbringung der Leistung Gesundheitsdaten benötigt, verlangt für die Verarbeitung dieser Daten naturgemäß eine ausdrückliche Einwilligung. Ohne ausdrückliche Einwilligung kann es die Leistung nicht erbringen. Hat der Verantwortliche in diesem Fall die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht?

Eben darum geht es in der Entscheidung des Datenschutzausschusses. Bei der Frage, ob die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht wird, ist festzustellen, für welche Daten und für welche Verarbeitungstätigkeit die ausdrückliche Einwilligung verlangt wird, und es ist eine zweifache Unterscheidung vorzunehmen. Ist nämlich die ausdrückliche Einwilligung erforderlich, damit die Hauptleistung erbracht werden kann, so bedeutet der Umstand, dass die Leistung ohne Erteilung der ausdrücklichen Einwilligung nicht erbracht werden kann, nicht, dass die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht worden ist. Allerdings muss den betroffenen Personen für diesen Fall ein alternativer Weg angeboten werden, auf dem sie die Dienstleistung ohne Erteilung einer ausdrücklichen Einwilligung in Anspruch nehmen können; einen solchen alternativen Weg gibt es freilich nicht immer.

Um die Lage für Versicherungsunternehmen zu konkretisieren: Versicherungsunternehmen stellen Policen aus, indem sie Gesundheitsdaten verarbeiten. Die Personen, die die Police ausstellen, unterliegen zudem keiner Geheimhaltungspflicht. Selbst wenn die Police einer Person, die keine ausdrückliche Einwilligung erteilen möchte, von einer der Geheimhaltungspflicht unterliegenden Person ausgestellt würde (selbst wenn die Person also an einen Arzt, eine Pflegekraft oder dergleichen verwiesen würde), wäre die Verarbeitung der Gesundheitsdaten für die Erbringung der Krankenversicherungsleistung ohne ausdrückliche Einwilligung nicht möglich, weil der Zweck der Verarbeitung der Gesundheitsdaten nicht einer (oder mehrere) der Zwecke des Schutzes der öffentlichen Gesundheit, der präventiven Medizin, der medizinischen Diagnostik, der Durchführung von Behandlungs- und Pflegeleistungen sowie der Planung und Verwaltung der Gesundheitsdienste und ihrer Finanzierung ist.

Es zeigt sich deutlich: Da nach den geltenden Regelungen für die in Rede stehende Tätigkeit kein alternativer Weg besteht, bedeutet der Umstand, dass die Hauptleistung ohne Erteilung der ausdrücklichen Einwilligung nicht erbracht werden kann, nicht, dass die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht worden ist. Gäbe es dagegen einen praktikablen alternativen Weg und würde das Versicherungsunternehmen, ohne diesen alternativen Weg einzurichten, denjenigen, die keine ausdrückliche Einwilligung erteilen, die Leistung nicht erbringen, so wäre die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht. Insoweit haben die Versicherungsunternehmen ihre Informationstexte qualitativ hochwertig abzufassen. Wer den Informationstext liest, muss verstehen, warum das Versicherungsunternehmen eine ausdrückliche Einwilligung einholt und warum ihm die Leistungen der Krankenversicherung nicht erbracht werden können, wenn die ausdrückliche Einwilligung nicht erteilt wird. Außerdem müssen die Beschäftigten des Versicherungsunternehmens, die der betroffenen Person die Informations- und Einwilligungstexte vorlegen (vermutlich die für die Ausstellung der Police zuständigen Personen), über die nötigen Kenntnisse verfügen, um die betroffenen Personen bei Bedarf mündlich informieren zu können. Wird das Informationsmerkmal der ausdrücklichen Einwilligung vollständig erfüllt, so wird bei den betroffenen Personen auch nicht der Eindruck entstehen, die ausdrückliche Einwilligung werde zur Bedingung der Dienstleistung gemacht.

Zwar enthält die Entscheidung unklare Punkte; gleichwohl ist diese Entscheidung des Datenschutzausschusses zu einer Frage, der man in der Praxis in ähnlichen Fällen sehr häufig begegnet, von großer Bedeutung. Es bleibt jedoch zu hoffen, dass der Datenschutzausschuss in seinen Entscheidungen ausführlicher auf Einzelheiten eingeht, dabei auch auf den alternativen Weg aufmerksam macht und so einer Fehlentwicklung der Praxis vorbeugt. Andernfalls könnte eine so wichtige Entscheidung die Verantwortlichen selbst dann, wenn die Erbringung der Dienstleistung ohne Einholung einer ausdrücklichen Einwilligung möglich ist, wenn also ein alternativer Weg besteht, zu dem einfacher und kostenlos erscheinenden Weg der Einholung einer ausdrücklichen Einwilligung drängen.

Abschließend ist auf die ausdrückliche Einwilligung bei Nebenleistungen einzugehen. Soll für die Verarbeitung personenbezogener Daten zur Erbringung von Nebenleistungen eine ausdrückliche Einwilligung eingeholt werden, so kann nicht davon die Rede sein, dass die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht wird. Denn der Verantwortliche erbringt seine Hauptleistung und verlangt eine ausdrückliche Einwilligung nur für seine Nebenleistungen wie Werbung, Aktionen oder Rabatte. Da eine solche Einholung der ausdrücklichen Einwilligung das Merkmal der freiwilligen Erteilung der ausdrücklichen Einwilligung nicht beeinträchtigt, kann auch nicht davon gesprochen werden, dass die Dienstleistung von der ausdrücklichen Einwilligung abhängig gemacht wird. Allerdings muss hier sehr gut informiert werden; die Einwilligungstexte für die Hauptleistung und für die Nebenleistungen müssen voneinander getrennt werden, und die betroffene Person muss sehr genau wissen können, wofür sie ihre ausdrückliche Einwilligung erteilt.

Schlussbetrachtung

Die ausdrückliche Einwilligung ist in Art. 3 Abs. 1 Buchst. a des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten definiert. Nach dieser Vorschrift muss die ausdrückliche Einwilligung für einen bestimmten Gegenstand, auf der Grundlage von Information und aus freiem Willen erteilt worden sein. Fehlt eines dieser drei Merkmale, so ist die ausdrückliche Einwilligung rechtswidrig. Eine ausdrückliche Einwilligung, die diese Merkmale aufweist, ist einzuholen, wenn bei personenbezogenen Daten die Rechtsgrundlagen des Art. 5 Abs. 2 des Gesetzes und bei besonderen Kategorien personenbezogener Daten die Rechtsgrundlagen des Art. 6 Abs. 3 nicht vorliegen. Eine ausdrückliche Einwilligung, die für die Verarbeitung personenbezogener Daten eingeholt wird, obwohl diese Rechtsgrundlagen vorliegen, ist rechtswidrig. Dennoch begegnen wir, obwohl seit dem Inkrafttreten des Gesetzes fünf Jahre vergangen sind, noch immer Fällen, in denen eine ausdrückliche Einwilligung eingeholt wird, obwohl die Rechtsgrundlagen der Art. 5 Abs. 2 und 6 Abs. 3 vorliegen (in der Annahme, damit auf der sicheren Seite zu sein), in denen Information und ausdrückliche Einwilligung in demselben Text geregelt werden (damit weniger Papieraufwand entsteht), in denen die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht wird oder in denen die Informations- und Einwilligungstexte (allein in der Absicht, keine Geldbuße zu erhalten) in schlechter Qualität abgefasst werden. Dass es diese Fälle noch immer gibt, ist das deutlichste Anzeichen dafür, dass das Bewusstsein für den Schutz personenbezogener Daten noch nicht geschaffen werden konnte.

Wie wir bereits in unseren früheren Arbeiten ausgeführt haben, muss der Datenschutzausschuss in seinen Entscheidungen unbedingt mit dem Ziel handeln, die Probleme der Praxis zu lösen, und auch seine Entscheidungszusammenfassungen in diesem Sinne abfassen. Leider ist der Datenschutzausschuss jedoch auch mit dieser Entscheidung nicht darüber hinausgekommen, Bekanntes zu wiederholen.

In der Entscheidung, die den Gegenstand dieses Beitrags bildet, wollte das Versicherungsunternehmen für die Verlängerung der Krankenversicherungspolice eine ausdrückliche Einwilligung einholen (weil es besondere Kategorien personenbezogener Daten aus der Kategorie Gesundheitsdaten verarbeiten musste und Art. 6 Abs. 3 des Gesetzes keine Anwendung fand); es erklärte, die Police nicht zu verlängern, wenn die ausdrückliche Einwilligung nicht erteilt werde. Die betroffene Person legte daraufhin bei der Datenschutzbehörde Beschwerde mit der Begründung ein, die ausdrückliche Einwilligung werde zur Bedingung der Dienstleistung gemacht.

Da es das zu den Merkmalen der ausdrücklichen Einwilligung gehörende Merkmal der Erteilung aus freiem Willen beeinträchtigt, wenn die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht wird, wird eine solche zur Bedingung der Dienstleistung gemachte ausdrückliche Einwilligung rechtswidrig. Deshalb ist anhand des konkreten Einzelfalls zu beurteilen, ob die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht worden ist. Ist für die Verarbeitung personenbezogener Daten (und/oder besonderer Kategorien personenbezogener Daten) zum Zweck der Erbringung der Dienstleistung eine ausdrückliche Einwilligung erforderlich und können die personenbezogenen Daten (und/oder die besonderen Kategorien personenbezogener Daten) nicht verarbeitet werden, weil die betroffene Person die ausdrückliche Einwilligung nicht erteilt hat, so ist dem Verantwortlichen die Erbringung der Dienstleistung naturgemäß nicht möglich. Können dagegen die für die Erbringung der Dienstleistung erforderlichen personenbezogenen Daten ohne ausdrückliche Einwilligung verarbeitet werden (weil die Rechtsgrundlagen der Art. 5 Abs. 2 und 6 Abs. 3 vorliegen), wird aber für die Verarbeitung der für Nebenleistungen (Produktvorstellung, Werbung usw.) erforderlichen personenbezogenen Daten eine ausdrückliche Einwilligung verlangt und erklärt, dass ohne deren Erteilung die Hauptleistung nicht erbracht werden könne, so ist hier davon zu sprechen, dass die ausdrückliche Einwilligung zur Bedingung der Dienstleistung gemacht wird. Zu beachten ist allerdings: Besteht in den Fällen, in denen für die Erbringung der Hauptleistung eine ausdrückliche Einwilligung erforderlich ist, ein alternativer Weg, der die Erbringung der Hauptleistung auch ohne Einholung einer ausdrücklichen Einwilligung ermöglicht, so muss dieser Weg unbedingt eingerichtet und der betroffenen Person auch aufgezeigt werden. Andernfalls wäre die ausdrückliche Einwilligung wiederum zur Bedingung der Dienstleistung gemacht. Unter diesem Gesichtspunkt ist es – in einer Konstellation wie der dem entschiedenen Fall zugrunde liegenden – als rechtmäßig anzusehen, dass Versicherungsunternehmen die ausdrückliche Einwilligung zur Bedingung der Dienstleistung machen.

Abschließend ist festzuhalten: Auch wenn der Datenschutzausschuss (Kurul) dies nicht geprüft hat, ist es sehr wichtig, dass die Verantwortlichen bei der Erfüllung der Informationspflicht qualitativ hochwertige Texte verwenden und die betroffenen Personen tatsächlich unterrichten. Nur so lässt sich Fehleinschätzungen wie in dem der Entscheidung zugrunde liegenden Fall vorbeugen. Daher müssen auch die Versicherungsunternehmen ihre Informations- und Einwilligungstexte qualitativ hochwertig gestalten; insbesondere in den (alternativlosen) Fällen, in denen die Dienstleistung ohne Erteilung der ausdrücklichen Einwilligung nicht erbracht werden kann, müssen die Texte inhaltlich so gefasst sein, dass die Leser des Informationstextes ohne Weiteres verstehen, warum ihnen die Dienstleistung nicht erbracht werden kann, wenn sie die ausdrückliche Einwilligung nicht erteilen.

Außerdem müssen auch die Beschäftigten des Verantwortlichen, die den betroffenen Personen den Informations- und Einwilligungstext vorlegen, über die nötigen Kenntnisse verfügen, um die betroffenen Personen zu dem Thema auch mündlich informieren zu können. Auf diese Weise wird das Informationsmerkmal der ausdrücklichen Einwilligung vollständig erfüllt sein.