Urteil des Gerichtshofs (Zweite Kammer) vom 11. November 2020.#Orange Romania SA gegen Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).#Vorlage zur Vorabentscheidung – Richtlinie 95/46/EG – Art. 2 Buchst. h und Art. 7 Buchst. a – Verordnung (EU) 2016/679 – Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a – Verarbeitung personenbezogener Daten Sammlung und Aufbewahrung von Kopien von Ausweisdokumenten durch einen Anbieter von Mobiltelekommunikationsdiensten Begriff der ,Einwilligung‘ der betroffenen Person – Willensbekundung ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage – Einwilligungserklärung mittels Ankreuzkästchen Unterzeichnung des Vertrags durch die betroffene Person – Beweislast.#Rechtssache C-61/19.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2020:901
• Docket Number: C-61/19
• Date: 11 November 2020
• Celex Number: 62019CJ0061
• Court: Court of Justice (European Union)

Vorläufige Fassung

URTEIL DES GERICHTSHOFS (Zweite Kammer)

11. November 2020(*)

„Vorlage zur Vorabentscheidung – Richtlinie 95/46/EG – Art. 2 Buchst. h und Art. 7 Buchst. a – Verordnung (EU) 2016/679 – Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a – Verarbeitung personenbezogener Daten Sammlung und Aufbewahrung von Kopien von Ausweisdokumenten durch einen Anbieter von Mobiltelekommunikationsdiensten Begriff der ,Einwilligung‘ der betroffenen Person – Willensbekundung ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage – Einwilligungserklärung mittels Ankreuzkästchen Unterzeichnung des Vertrags durch die betroffene Person – Beweislast“

In der Rechtssache C‑61/19

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Tribunalul Bucureşti (Landgericht Bukarest, Rumänien) mit Entscheidung vom 14. November 2018, beim Gerichtshof eingegangen am 29. Januar 2019, in dem Verfahren

Orange România SA

gegen

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

erlässt

DER GERICHTSHOF (Zweite Kammer)

unter Mitwirkung des Kammerpräsidenten A. Arabadjiev sowie der Richter T. von Danwitz (Berichterstatter) und P. G. Xuereb,

Generalanwalt: M. Szpunar,

Kanzler: D. Dittert, Referatsleiter,

aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 11. Dezember 2019,

unter Berücksichtigung der Erklärungen

– der Orange România SA, vertreten durch D.-D. Dascălu, A.‑M. Iordache und I. Buga, avocaţi,

– der Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), vertreten durch A. G. Opre und I. Ilie als Bevollmächtigte,

– der rumänischen Regierung, zunächst vertreten durch E. Gane, O.‑C. Ichim, L. Liţu und C.‑R. Canţăr, dann durch E. Gane, O.‑C. Ichim und L. Liţu als Bevollmächtigte,

– der italienischen Regierung, vertreten durch G. Palmieri als Bevollmächtigte im Beistand von M. Russo, avvocato dello Stato,

– der österreichischen Regierung, zunächst vertreten durch J. Schmoll und G. Hesse, dann durch J. Schmoll als Bevollmächtigte,

– der portugiesischen Regierung, vertreten durch L. Inez Fernandes, P. Barros da Costa, L. Medeiros und I. Oliveira als Bevollmächtigte,

– der Europäischen Kommission, vertreten durch H. Kranenborg, D. Nardi und L. Nicolae als Bevollmächtigte,

nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 4. März 2020

folgendes

Urteil

1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) und von Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1).

2 Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen der Orange România SA und der Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Nationale Behörde zur Überwachung der Verarbeitung personenbezogener Daten, Rumänien) wegen einer Klage auf Aufhebung einer Entscheidung, mit der die ANSPDCP gegen Orange România ein Bußgeld verhängt hat, weil diese Kopien von Ausweisdokumenten ihrer Kunden ohne deren gültige Einwilligung gesammelt und aufbewahrt hatte, und von ihr verlangt hat, diese Kopien zu vernichten.

Rechtlicher Rahmen

Unionsrecht

Richtlinie 95/46

3 Im 38. Erwägungsgrund der Richtlinie 95/46 heißt es, dass „Datenverarbeitung nach Treu und Glauben voraus[setzt], dass die betroffenen Personen in der Lage sind, das Vorhandensein einer Verarbeitung zu erfahren und ordnungsgemäß und umfassend über die Bedingungen der Erhebung informiert zu werden, wenn Daten bei ihnen erhoben werden“.

4 Nach Art. 2 Buchst. h dieser Richtlinie bezeichnet im Sinne dieser Richtlinie der Ausdruck

„,Einwilligung der betroffenen Person‘ jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.“

5 Art. 6 dieser Richtlinie sieht vor:

„(1) Die Mitgliedstaaten sehen vor, dass personenbezogene Daten

a) nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden;

…

(2) Der für die Verarbeitung Verantwortliche hat für die Einhaltung des Absatzes 1 zu sorgen.“

6 In Art. 7 Buchst. a dieser Richtlinie heißt es:

„Die Mitgliedstaaten sehen vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist:

a) Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben …“

7 Art. 10 dieser Richtlinie bestimmt:

„Die Mitgliedstaaten sehen vor, dass die Person, bei der die sie betreffenden Daten erhoben werden, vom für die Verarbeitung Verantwortlichen oder seinem Vertreter zumindest die nachstehenden Informationen erhält, sofern diese ihr noch nicht vorliegen:

a) die Identität des für die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters;

b) Zweckbestimmungen der Verarbeitung, für die die Daten bestimmt sind,

c) weitere Informationen, beispielsweise betreffend

– die Empfänger oder Kategorien der Empfänger der Daten,

– die Frage, ob die Beantwortung der Fragen obligatorisch oder freiwillig ist, sowie mögliche Folgen einer unterlassenen Beantwortung,

– das Bestehen von Auskunfts- und Berichtigungsrechten bezüglich sie betreffender Daten,

sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.“

Verordnung 2016/679

8 Die Erwägungsgründe 32 und 42 der Verordnung 2016/679 lauten:

„(32) Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden. Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgen.

…

(42) Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat. Insbesondere bei Abgabe einer schriftlichen Erklärung in anderer Sache sollten Garantien sicherstellen, dass die betroffene Person weiß, dass und in welchem Umfang sie ihre Einwilligung erteilt. Gemäß der Richtlinie 93/13/EWG des Rates [vom 5. April 1993 über missbräuchliche Klauseln in Verbraucherverträgen (ABl. 1993, L 95, S. 29)] sollte eine vom Verantwortlichen vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden, und sie sollte keine missbräuchlichen Klauseln beinhalten. Damit sie in Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen. Es sollte nur dann davon ausgegangen werden, dass sie ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden.“

9 Art. 4 Nr. 11 dieser Verordnung sieht vor:

„,Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

10 Art. 5 der Verordnung bestimmt:

„(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (,Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);

…

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“

11 In Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 heißt es:

„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

…“

12 Art. 7 Abs. 1, 2 und 4 der Verordnung 2016/679 lautet:

„(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene...