Einwilligungen sind anspruchsvoll. Sie müssen freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden. Das KDG sieht zudem vor, dass sie in der Regel schriftlich eingeholt werden. Und dennoch ist unter diesen Bedingungen eine konkludente Einwilligung möglich.

In den Datenschutzgesetzen werden die Bedingungen für eine konkludente Einwilligung nicht geregelt. Das Interdiözesane Datenschutzgericht hatte zwar schon zuvor konkludente Einwilligungen angenommen – aber erst mit der nun veröffentlichten Entscheidung (IDSG 01/2021 vom 24. Mai 2022) gibt es Kriterien, welche Anforderungen daran gestellt werden.

Der Fall

Vor dem IDSG streitet sich ein Patient eines Chirurgen mit der Datenschutzaufsicht. Die hatte nämlich angenommen, dass für die Weitergabe der Patientenakte bei einem Übergang der Arztpraxis an ein Medizinisches Versorgungszentrum (MVZ) in kirchlicher Trägerschaft eine konkludente Einwilligung als Rechtsgrundlage herangezogen werden kann. Eine Beschwerde des Patienten wurde also abgelehnt, es liege kein Datenschutzverstoß vor. Bemerkenswert sind die Zeitläufe: Der Patient war 1993 bei der ursprünglichen Praxis, die 2010 durch das MVZ inklusive der Akten übernommen wurde. 2016 und 2017 war der Patient dann wieder beim MVZ in Behandlung und beschwerte sich, dass seine alte Akte weitergeführt wurde.

Die Entscheidung

Für das IDSG ist es recht klar, dass hier keine konkludente Einwilligung angenommen werden kann und sich in der damals geltenden KDO auch sonst keine Rechtsgrundlage für eine Übernahme der Patientenakte beim Praxisübergang anzunehmen.

Gegen die konkludente Einwilligung spricht aus Sicht des Gerichts die lange Zeit. Mit Verweis auf ein Urteil des BGH (Urteil vom 11. Dezember 1991 – VIII ZR 4/91) wird zwar zugegeben, dass »ein hinreichend eindeutiges schlüssiges Verhalten des Patienten, das eine konkludente Einwilligung darstellt, vorliegen, wenn der Patient sich dem Praxisübernehmer zur ärztlichen Behandlung anvertraut« (Rn. 36). Aber nach dieser langen Zeit und dem ungewöhnlichen Praxisübergang könne man nun wirklich nicht unterstellen, dass der Patient wohl schon wusste, was da passieren wird. »Die Praxisübernahme durch die MVZ ist der ganz wesentliche zentrale Umstand, ohne dessen Kenntnis die Annahme einer konkludenten Einwilligung ausscheidet«, heißt es in Rn. 40.

Kriterien für konkludente Einwilligungen

Begründet wird das mit dem eigentlichen über den Fall hinaus relevanten Herzstück der Entscheidung in Rn. 38: Dort werden die Maßstäbe einer Entscheidung des Bundesverfassungsgerichts (BVerfG, Beschluss vom 9. Oktober 2002 – 1 BvR 1611/96 und 1 BvR 805/98) herangezogen. In der Entscheidung heißt es: »Eine konkludente Einwilligung darf nach Auffassung der Fachgerichte angenommen werden, wenn ein bestimmtes Verhalten in einem solchen Maße üblich und geradezu selbstverständlich ist, dass entsprechend dem Grundgedanken des § 157 BGB nach Treu und Glauben und mit Rücksicht auf die Verkehrssitte vernünftigerweise nur von einer Zustimmung des Betroffenen ausgegangen werden kann, sofern er dem Verhalten nicht widerspricht« (Rn. 46).

In den Worten des IDSG: »Auch eine stillschweigende Einwilligung erfordert eine bewusste und freiwillige Gestattung der Datenverarbeitung. Dies setzt voraus, dass der Einwilligende eine im Wesentlichen zutreffende Vorstellung davon hat, worin er einwilligt, so dass er Bedeutung und Tragweite seines als schlüssig zu bewertenden Verhaltens überblicken kann.« Aus einer tatsächlichen Verbreitung eines Vorgehens und einem fehlenden vorsorglichen Widerspruch könne noch nicht darauf geschlossen werden, dass konkludent eingewilligt werde. Eine konkludente Einwilligung scheide auch dann aus, »wenn der Patient keine Kenntnis von den Umständen hat, die für die Annahme eines schlüssigen Verhaltens wesentlich sind«, und zwar auch dann, wenn man den Grundgedanken von § 157 BGB berücksichtige (»Verträge sind so auszulegen, wie Treu und Glauben mit Rücksicht auf die Verkehrssitte es erfordern.«).

Für eine konkludente Einwilligung sieht das IDSG also folgende Kriterien als notwendig an. Die einwilligende Person muss

• die Datenverarbeitung bewusst und freiwillig gestatten,
• eine im Wesentlichen zutreffende Vorstellung davon haben, worin sie einwilligt, und
• die Bedeutung und Tragweite der Einwilligung überblicken können.

Für eine konkludente Einwilligung reicht nicht,

• dass das Vorgehen verbreitet ist und
• dass es keinen vorsorglichen Widerspruch gibt.

Fazit

Konkludente Einwilligungen wurden vom IDSG schon zuvor angenommen, zum Beispiel als Rechtsgrundlage für Korrespondenz, was hier schon sehr kritisch diskutiert wurde. Die Anforderungen an Einwilligungen sind im Datenschutzrecht sehr hoch. So hoch, dass sich die Möglichkeit konkludenter Einwilligungen generell kritisch sehen lässt.

Mit seiner jetzt veröffentlichten Entscheidung zeigt das IDSG aber einen Weg auf, wie konkludente Einwilligungen nachvollziehbar gestaltet werden können. Die genannten Kriterien legen auch gut dar, wie die üblichen Einwilligungsanforderungen (freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich) erfüllt werden können. Das trägt erheblich zur Rechtssicherheit bei der Gestaltung von Prozessen bei, in denen man auf diesen Weg setzen will – der Klassiker ist das Gottesdienststreaming mit ausgewiesenen Plätzen, an denen man möglicherweise einerseits, sicher nicht andererseits aufgenommen wird. Die informierte Platzwahl lässt sich anhand der vom IDSG ausgearbeiteten Kriterien sehr gut als wirksame konkludente Einwilligung konstruieren.