Für die Verarbeitung von personenbezogenen Daten, etwa für Forschungszwecke oder für den Versand von Newslettern muss − sofern keine andere Rechtsgrundlage vorliegt − im Vorfeld, spätestens aber zum Zeitpunkt der Datenerhebung, eine Einwilligung der betroffenen Person vorliegen, (Artikel 6 Abs. 1 lit. a, Artikel 7 DSGVO). Damit eine Einwilligung rechtswirksam ist, muss sie
- freiwillig erteilt werden
- über die Zwecke der Datenverarbeitung informieren (es gilt das Prinzip der Zweckbindung). Die Zwecke müssen so konkret wie möglich beschrieben werden, sodass der Einwilligende weiß in welchem Umfang die Einwilligung erteilt wird.
- in Form einer unmissverständlichen Erklärung oder sonstigen eindeutigen bestätigenden Handlung erfolgen (nach Möglichkeit schriftlich),
- nachweisbar dokumentiert sein – Die Verantwortung liegt beim jeweiligen Fachverfahren, welches über Aufbewahrungsart und -dauer entscheiden muss. Regelmäßig sollte die Aufbewahrung der Einwilligung solange erfolgen, wie die personenbezogenen Daten verarbeitet werden. Nur so kann die Verarbeitungsgrundlage rechtssicher nachgewiesen und Betroffenenrechte wahrgenommen werden.
- in einer klaren und einfachen Sprache formuliert und vom Rest eines Schreibens klar abgetrennt werden (z. B. durch Kursiv, Fettschrift, farbige Hervorhebung, räumliche Abtrennung).
- den Informationspflichten (Datenschutzerklärung) gegenüber dem Betroffenen muss spätestens im Moment der Erhebung nachgekommen worden sein.
- genauso einfach zu widerrufen, wie zu erteilen sein, wobei auf die Widerrufbarkeit zum beliebigen Zeitpunkt der Erhebung/Verarbeitung hingewiesen werden muss.
- darauf hinweisen, dass durch den Widerruf der Einwilligung die Rechtmäßigkeit der auf ihrer Grundlage bis zum Widerruf erfolgten Verarbeitung nicht berührt wird. Soll heißen, dass erst nach dem Widerruf eine Verarbeitung durch die HWR unterbleiben muss. Alle davor durchgeführten Verarbeitungstätigkeiten sind rechtmäßig erfolgt.
Die Hochschule muss der Aufsichtsbehörde und den Betroffenen bei Bedarf nachweisen können, dass die Datenverarbeitung DSGVO-konform erfolgt ist. Auch wenn die DSGVO eine schriftliche Erteilung der Einwilligung nicht explizit fordert, empfiehlt es sich Einwilligungen im Rahmen der Nachweispflichten schriftlich einzuholen. Es empfiehlt sich die Datenschutzerklärung mit der Einwilligung auszuhändigen und sich eine Lesebestätigung unterzeichnen zu lassen.