Читать книгу: «Festschrift für Jürgen Taeger»

Daten als Gegenleistung?

Datengetriebene Geschäftsmodelle im Schuld- und Leistungsstörungsrecht

Thomas Riehm

Jürgen Taeger steht wie kaum ein anderer Rechtswissenschaftler für inter- und intradisziplinäres Arbeiten. Er bildet seit jeher eine personifizierte Brücke zwischen Technik und Recht und verbindet dabei die Disziplinen der Informatik und der Rechtswissenschaft. Innerhalb der Rechtswissenschaften hat er als einer der Gründerväter des modernen Datenschutzrechts und des Datenverkehrsrechts wesentliche Grundsteine für diese heute so praxisrelevanten Gebiete zwischen öffentlichem Recht und Privatrecht gelegt.1 Verbunden hat er dies stets mit einem Blick auf die ökonomische Bedeutung der Datenwirtschaft und des Datenschutzrechts.2 Das begründet die Hoffnung, dass der nachfolgende Beitrag, der sich mit der schuld- und insbesondere leistungsstörungsrechtlichen Erfassung datengetriebener Geschäftsmodelle befasst, auf sein Interesse stößt.

I. Einführung

Datengetriebene Geschäftsmodelle sind aus der heutigen digitalen Wirtschaft nicht mehr wegzudenken. Viele Produkte und Dienstleistungen werden entweder „gratis“ oder jedenfalls verbilligt abgegeben, wenn der Kunde bei Vertragsabschluss einwilligt, dass seine personenbezogenen Daten verarbeitet und z.T. weitergegeben werden. Die Bandbreite geht insoweit von der Gewährung von Gutscheinen als „Gegenleistung“ für die Zustimmung zum Newsletter-Versand bis hin zur „kostenlosen“ Erbringung von komplexen IT-Dienstleistungen (Internetsuche, Videostreaming, soziale Netzwerke) gegen umfassende Einwilligung der Nutzer in die Verarbeitung und Weitergabe ihrer Daten, die sie auf der jeweiligen Plattform oder auch auf anderen Webseiten in teilweise ganz anderen Zusammenhängen generieren.

Diese große praktische Bedeutung der datenschutzrechtlichen Einwilligung im vertraglichen Kontext spiegelt sich auch in der zunehmenden wissenschaftlichen Diskussion über die vertragsrechtliche Erfassung derartiger „Austauschverhältnisse“ wider.3 Auch der europäische Gesetzgeber hat die Thematik erkannt und in Art. 3 Abs. 1 Satz 2 der neuen Digitale Inhalte-Richtlinie4 ausgesprochen, dass Verträge, bei denen eine „Leistung gegen Daten“ erbracht wird, wie entgeltliche Verträge der Richtlinie unterfallen sollen.5 Freilich ist die schuldrechtliche Erfassung derartiger „Austauschverhältnisse“ durch eine solche europäische Norm nicht vorgegeben. Die Anwendbarkeit bestimmter Verbraucherschutzvorschriften sagt nichts über die grundsätzliche schuldrechtliche Einordnung derartiger Verträge aus, sodass ohnehin die gesamte Richtlinie – zu Recht – auf dogmatische Festlegungen hinsichtlich der erfassten Vertragstypen verzichtet.

Ebenso wenig hilfreich – aber wesentlich bedeutsamer – ist in diesem Zusammenhang die Datenschutzgrundverordnung (DSGVO), die anerkanntermaßen vorrangig öffentlich-rechtlich konzipiert ist und somit die schuldrechtliche Behandlung datenbezogener Austauschverhältnisse nicht abschließend determinieren kann. Sie enthält aber gleichwohl einzelne Vorschriften mit vertraglichem Bezug, insbesondere die gesetzliche Verarbeitungsermächtigung in Art. 6 Abs. 1 lit. b DSGVO sowie das sog. Koppelungsverbot in Art. 7 Abs. 4 DSGVO.6 Diese sind allerdings im Einzelnen durchaus unklar und haben sogar bereits Befürchtungen (oder Hoffnungen?) geweckt, datengetriebenen Geschäftsmodellen insgesamt im Wege zu stehen.7

Im Folgenden soll untersucht werden, wie derartige Verträge über den Austausch von „Daten gegen Leistung“ mit den Mitteln des Schuldrechts, insbesondere des Leistungsstörungsrechts, erfasst werden können. Im Mittelpunkt steht dabei die Frage, welche Rolle in diesem Zusammenhang der datenschutzrechtlichen Einwilligung selbst und ihrer freien Widerruflichkeit zukommt.

1. Überblick: Datengetriebene Geschäftsmodelle

Derzeit sind verschiedenste Geschäftsmodelle am Markt etabliert, die sich in der einen oder anderen Weise auf die Verarbeitung personenbezogener Daten stützen. Dabei soll die – bereits gesetzlich gem. Art. 6 Abs. 1 lit. b DSGVO zulässige8 – Verarbeitung von Adress- und Kontodaten zur bloßen Vertragsabwicklung ausgeklammert bleiben. Der Fokus soll vielmehr auf Geschäftsmodellen liegen, bei denen die vom Anbieter erhobenen Daten einen Beitrag zu einer eigenständigen Wertschöpfung leisten,9 insbesondere durch die Nutzung von Daten zur Optimierung bzw. in manchen Fällen sogar zur Ermöglichung bestimmter Produkte oder Dienstleistungen. Das betrifft etwa die Datenerhebung zur „Predictive Maintenance“ von Maschinen, zur Optimierung der Relevanz von Suchergebnissen oder von Navigationssystemen. Besonders intensiv ist die Datenverarbeitung zur Wertschöpfung bei den sozialen Netzwerken (Stichwort: User Generated Content). Daneben – und durchaus überlappend – existieren Geschäftsmodelle, bei denen der Anbieter die vom Nutzer erhobenen Daten zur Steigerung seiner Werbeerlöse nutzt: Targeted Advertising wird aufgrund möglichst präziser Nutzerpräferenzen besser bezahlt als ungezielte Streuwerbung.10 Und schließlich können die erhobenen Daten auch an Dritte entgeltlich weitergegeben werden, die dann beispielsweise wiederum gezielte Werbung auf ihren Seiten schalten oder die durch die weitergegebenen Daten schlicht ihr „Wissen“ über den jeweiligen Nutzer vermehren und dadurch in anderen Zusammenhängen höhere Erträge generieren können.

2. Arten datenbezogener Austauschbeziehungen

Innerhalb dieser Geschäftsmodelle können im Hinblick auf den Charakter der Austauschbeziehungen verschiedene Modelle unterschieden werden: Zum einen finden sich Modelle, in denen die Nutzer fortlaufend Daten generieren (und in deren Verarbeitung einwilligen) sollen und als „Gegenleistung“ die konstante Bereitstellung eines Dienstes erhalten („Dauer-Einwilligung gegen Dauer-Leistung“). Hierunter fallen z.B. Plattformanbieter für Übernachtungen oder Mobilität, die auf die fortlaufende Generierung von (z.B. Bewertungs-)Daten durch ihre Benutzer angewiesen sind, um die Qualität ihrer Dienstleistung sicherzustellen. Auch Predictive Maintenance-Systeme können so verstanden werden, weil die eigentliche Wartung durch die fortlaufende Datenbereitstellung zielgenauer und damit günstiger angeboten werden kann. Das Gleiche gilt schließlich für Telematiktarife von Versicherungen, bei denen die erhobenen Daten dem Versicherer ermöglichen, das versicherte Risiko präziser einzuschätzen und die Versicherung daher günstiger anzubieten.11

In vielen Zusammenhängen bildet allerdings neben der Erhebung personenbezogener Nutzerdaten die Werbeexposition das wesentliche Element für die Refinanzierung des Diensteanbieters. So finanzieren sich die meisten sozialen Netzwerke gerade nicht über die Erhebung und Verwertung von Daten selbst, sondern über Werbung, die infolge der erhobenen Daten zielgenauer erfolgen kann. Die Werbeexposition dürfte aus Sicht der Anbieter sogar die zentrale Gegenleistung sein, da nur mit dieser das Angebot refinanziert werden kann.12 Nur so lässt sich erklären, dass Adblocker vehement gerichtlich verfolgt und technisch bekämpft werden,13 während technische Maßnahmen gegen anonymes Surfen kaum bekannt sind.

Es existieren ferner Geschäftsmodelle, bei denen einer einmaligen Leistung des Anbieters eine dauerhafte Einwilligung des Kunden gegenübersteht, z.B. bei der Teilnahme an einem (einmaligen) Gewinnspiel gegen dauerhafte Einwilligung in die Nutzung der personenbezogenen Daten für Werbezwecke („Dauer-Einwilligung gegen Einmal-Leistung“). Wohl nur in der Theorie denkbar sind Modelle einer Einwilligung in die Datenverarbeitung zu einem punktuellen Zweck gegen eine dauerhafte Leistungserbringung durch den Unternehmer („Einmal-Einwilligung gegen Dauer-Leistung“). Ein solches Modell würde wirtschaftlich im Wesentlichen einer unentgeltlichen Leistung gleichstehen, weil ab dem Abschluss der Datenverarbeitung, in die eingewilligt wurde, keine Gegenleistung des Kunden für die Dauer-Leistung des Unternehmers mehr erfolgen würde.

Aus datenschutzrechtlicher Sicht unproblematisch sind schließlich Geschäftsmodelle, die eine auf einen einmaligen Zweck bezogene Einwilligung des Kunden in die Datenverarbeitung als Gegenleistung für eine ebenfalls lediglich punktuelle Leistung des Anbieters vorsehen („Einmal-Einwilligung gegen Einmal-Leistung“). In diesen Fällen erledigt sich die Einwilligung sogleich durch Erreichung des Verarbeitungszwecks, sodass sich die Frage eines späteren Widerrufs (ex nunc, Art. 7 Abs. 3 Satz 2 DSGVO) nicht mehr stellen würde.

II. Datenschutzrechtliche Rahmenbedingungen

Sobald personenbezogene Daten (Art. 4 Nr. 1 DSGVO) als „Gegenleistung“ für Waren oder Dienstleistungen zugewendet werden sollen, genügt die bloße Generierung von Daten bzw. ihre Übertragung an den Anbieter nicht. Vielmehr muss er zu deren Verarbeitung auch rechtlich befugt sein. Nach dem, die DSGVO beherrschenden, Grundsatz des Verbots der Datenverarbeitung mit Erlaubnisvorbehalt14 setzt das voraus, dass entweder ein gesetzlicher Erlaubnistatbestand besteht oder der Kunde eingewilligt hat. In der datenschutzrechtlichen Einwilligung liegt daher der Kern der „Leistung“ des Kunden.15

1. Einwilligung und Widerruflichkeit

Nach Art. 6 Abs. 1 lit. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn die betroffene Person „ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben“ hat. Dabei handelt es sich nach h.M. um eine Willenserklärung,16 die die grundsätzlich rechtswidrige Verarbeitung personenbezogener Daten rechtmäßig macht.17 Allerdings ist die Einwilligung nach Art. 7 Abs. 3 Satz 1 DSGVO jederzeit widerruflich; diese Widerrufsmöglichkeit kann auch vertraglich nicht ausgeschlossen werden.18 Der Widerruf berührt zwar die Rechtmäßigkeit der bereits erfolgten Datenverarbeitung nicht; er wirkt nur ex nunc (Art. 7 Abs. 3 Satz 2 DSGVO).19 Für die Zukunft wird die Datenverarbeitung allerdings rechtswidrig, sofern kein gesetzlicher Erlaubnistatbestand erfüllt ist, etwa nach Art. 6 Abs. 1 lit. b (Erforderlichkeit für die Erfüllung eines Vertrags) oder lit. c DSGVO (Erforderlichkeit für die Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen).20

In den beschriebenen Geschäftsmodellen hat der Widerruf der Einwilligung zur Folge, dass der Anbieter die aus seiner Sicht für sein Geschäftsmodell erforderlichen Daten nicht mehr verarbeiten darf, sodass das aus Sicht des Anbieters vorausgesetzte Äquivalenzverhältnis gestört wird. Infolge der Widerrufsmöglichkeit hat der Anbieter daher in allen Modellen, die auf einer Einwilligung zur dauerhaften Datenverarbeitung basieren, von vornherein keine Planungssicherheit hinsichtlich der Frage, ob er die Datenverarbeitung während der gesamten Vertragslaufzeit fortsetzen kann.21

2. Das Koppelungsverbot des Art. 7 Abs. 4 DSGVO

Die Möglichkeit der Einwilligung im Kontext von Verträgen ist durch das sogenannte Koppelungsverbot des Art. 7 Abs. 4 DSGVO eingeschränkt. Ausgangspunkt hierfür ist zunächst Art. 4 Nr. 11 i.V.m. Erwägungsgrund 43 DSGVO: Die Einwilligung muss „freiwillig“ erfolgen, um wirksam zu sein. Diese Anforderung geht nach h.M. über das Erfordernis einer wirksamen Willenserklärung und auch über das Fehlen von Anfechtungsgründen nach deutschem Recht (z.B. § 123 Abs. 1 BGB) oder der fehlenden Sittenwidrigkeit wegen Ausbeutung einer Zwangslage22 hinaus: Die Einwilligung muss vielmehr Ausdruck einer „echten Wahl“ des Betroffenen hinsichtlich des Ob, des Umfangs und des Adressaten der Datennutzung sein.23 Abgeleitet wird das Einwilligungserfordernis der DSGVO letztlich aus dem Grundrecht auf informationelle Selbstbestimmung (Art. 8 Abs. 2 EU-GRCh),24 das wiederum eine Ausprägung des Rechts auf Privatleben (Art. 7 EU-GRCh) ist. Diese Grundrechte schützen die Betroffenen vor jedem Zwang zur Preisgabe personenbezogener Daten – auch vor einem solchen, der in der Durchsetzung einer früher gegebenen vertraglichen Vereinbarung besteht –, weil sie dem Betroffenen das Recht geben, zu jeder Zeit darüber zu bestimmen, wer welche personenbezogenen Daten von ihnen zu welchem Zweck verarbeiten darf.

Art. 7 Abs. 4 DSGVO bestimmt in der Folge, dass bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, im größtmöglichen Umfang dem Umstand Rechnung getragen werden muss, ob die Erfüllung eines Vertrages von der Einwilligung in die Verarbeitung von Daten abhängig gemacht wurde, die für die Erfüllung nicht erforderlich sind. Etwas strenger formuliert der Erwägungsgrund 43 der DSGVO: „die Einwilligung gilt nicht als freiwillig erteilt, wenn ... die Erfüllung eines Vertrags ... von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“ Würde man dies eng verstehen, würde jede vertragliche Verpflichtung zur Erteilung einer datenschutzrechtlichen Einwilligung diese zugleich unwirksam machen, weil die Einwilligung dann nicht mehr freiwillig erteilt würde, sondern unter dem Eindruck der rechtlichen Pflicht. Der Anbieter hätte dann keine Möglichkeit sicherzustellen, dass er die Daten des Kunden tatsächlich rechtmäßig verarbeiten darf. Bei dieser Auslegung würde Art. 7 Abs. 4 DSGVO die datengetriebenen Geschäftsmodelle, bei welchen die von den Nutzern überlassenen Daten nicht nur unmittelbar der Vertragserfüllung dienen, datenschutzrechtlich ausschließen.25 Denn dort ist die Erteilung der Einwilligung gerade nicht für die bloße Erfüllung des Vertrags erforderlich, sondern dient darüber hinausgehenden Zwecken, etwa der Refinanzierung des Angebots durch gezielte Werbung, der Erzielung zusätzlicher Einnahmen, die wiederum niedrigere Angebotspreise ermöglichen,26 oder der Optimierung der angebotenen Dienstleistungen anhand der Nutzerpräferenzen.27

Diese strenge Auslegung des Art. 7 Abs. 4 DSGVO ist allerdings aus gesetzessystematischen Gründen nicht überzeugend: Dürfte die Vertragserfüllung nicht von einer Einwilligung abhängig gemacht werden, wenn die Einwilligung zur Erfüllung nicht erforderlich ist, wäre die Einwilligung im vertraglichen Kontext neben Art. 6 Abs. 1 lit. b DSGVO sinnlos. In allen Fällen, in denen die Datenverarbeitung zur Vertragserfüllung erforderlich ist, ergibt sich die Befugnis zur Datenverarbeitung ohnehin bereits aus Art. 6 Abs. 1 lit. b DSGVO, ohne dass es auf das Vorliegen einer Einwilligung ankäme. Der Sinn einer Einwilligung im vertraglichen Kontext kann nur darin bestehen, die Befugnisse des Unternehmers zur Datenverarbeitung gegenüber dem gesetzlichen Erlaubnistatbestand zu erweitern. Allein dieser Umstand darf daher nicht dazu führen, dass die Einwilligung ihrerseits unwirksam wird. Der Kern des Art. 7 Abs. 4 DSGVO dürfte – auch im Lichte des Erwägungsgrunds 43 zur DSGVO – vielmehr darin liegen, dass lediglich der Druck auf den Kunden missbilligt wird, der darin liegt, dass die Erfüllung eines bereits abgeschlossenen Vertrages, also einer bestehenden Rechtspflicht, zusätzlich von einer (zur Abwicklung nicht erforderlichen) datenschutzrechtlichen Einwilligung abhängig gemacht wird. Nur eine dergestalt „erpresste“ Einwilligung wäre unwirksam.

Darüber hinaus kann bei den oben dargestellten Geschäftsmodellen sogar argumentiert werden, dass die Datenverarbeitung erforderlich ist, um die angestrebte Qualität des Dienstes – einschließlich ihrer Orientierung an individuellen Nutzerpräferenzen – sicherzustellen: Ein soziales Netzwerk etwa ist für seine Benutzer gerade dann attraktiv, wenn aus der Vielzahl der vorgehaltenen Inhalte gerade diejenigen angezeigt werden, an denen der jeweilige Benutzer (mutmaßlich) besonders interessiert ist; das ist wiederum nur auf der Grundlage einer Einwilligung in die Datenverarbeitung möglich. Insofern ist die datenschutzrechtliche Einwilligung jedenfalls für den Betrieb des Dienstes in seiner konkreten Gestalt erforderlich und wäre in dieser Auslegung immun gegen Art. 7 Abs. 4 DSGVO. Soweit die Datenverarbeitung der Refinanzierung des Angebots durch Werbung dient, kann die Einwilligung ebenfalls als „für die Erfüllung erforderlich“ angesehen werden, weil nur so das Angebot nachhaltig aufrechterhalten werden kann.28

Gegen diese großzügigeren Auslegungen wird allerdings angeführt, dass es dem Vorrang der Privatautonomie, wie er im Einwilligungserfordernis zum Ausdruck kommt, eher entspräche, in derartigen Fällen dem Nutzer die Entscheidung darüber zu belassen, ob er eine weitreichende Einwilligung in die Datenverarbeitung erteilt oder lieber – im Fall der Werbefinanzierung – ein Entgelt für die Leistung bezahlt oder – im Fall der Orientierung der Dienstleistung an den Nutzerpräferenzen – auf ebendiese Orientierung verzichtet.29 Freilich kann die entsprechende Wahlfreiheit des Betroffenen in der Regel auch durch die Auswahl zwischen verschiedenen Anbietern sichergestellt werden; dann verlagert sich die Problematik auf die eher wettbewerbsrechtlich gelagerte Frage, ob das Verlangen entsprechend weitreichender Einwilligungserklärungen durch monopolartige Anbieter einen Missbrauch marktbeherrschender Stellung i.S.v. Art. 102 AEUV darstellt,30 was zusätzlich zur fehlenden Freiwilligkeit der Einwilligung i.S.v. Art. 7 Abs. 4 DSGVO ggfs. auch zu deren Unwirksamkeit gemäß § 134 BGB führen würde.31 Gleiches wird man in Bereichen essenzieller Grundversorgung annehmen müssen (Alters- und Krankheitsvorsorge, Telefonanschluss, Girokonto, ...), jedenfalls solange dort am Markt nicht auch Vertragsmodelle ohne entsprechend weite Einwilligungserklärungen angeboten werden.32 In anderen Fällen ohne existenzielle Bedeutung, bei denen eine Wahlfreiheit zwischen verschiedenen Anbietern besteht oder auch der Verzicht auf die jeweilige Dienstleistung (z.B. bei sozialen Netzwerken) eine zumutbare Option darstellt, dürfte es einer im Zusammenhang mit dem Vertrag erteilten Einwilligung aber kaum je an der Freiwilligkeit fehlen.

3. Gesetzliche Erlaubnistatbestände

Schließlich kommt im Falle des Fehlens oder eines Widerrufs der Einwilligung noch der Rückgriff auf einen gesetzlichen Erlaubnistatbestand für die Datenverarbeitung in Betracht. Freilich wird im datenschutzrechtlichen Schrifttum vereinzelt vertreten, dass ein solcher Rückgriff ausgeschlossen sei, wenn sich der Anbieter zunächst eine Einwilligung des Betroffenen verschafft hat.33 Diese strenge Auffassung ist aber mit der wohl h.M. abzulehnen, weil nicht einzusehen ist, warum die Schaffung einer zusätzlichen Rechtfertigung für die Datenverarbeitung durch die Einwilligung eine bereits gesetzlich zulässige Verarbeitung rechtswidrig machen sollte.34 Dies gilt umso mehr, als im Hinblick auf die genaue Reichweite der gesetzlichen Erlaubnistatbestände große Rechtsunsicherheit besteht, sodass die verantwortlichen Stellen selbst beim (wahrscheinlichen) Vorliegen gesetzlicher Erlaubnistatbestände gut beraten sind, vorsorglich zusätzlich eine Einwilligung einzuholen.35

Als einschlägiger gesetzlicher Erlaubnistatbestand kommt insbesondere Art. 6 Abs. 1 lit. b DSGVO in Betracht. Danach ist die Datenverarbeitung zulässig, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, ... erforderlich [ist]“. Dieser Erlaubnistatbestand könnte so weit auszulegen sein, dass er – über die selbstverständlich zulässige Verarbeitung der Adress- und Kontodaten für die Auftragsabwicklung – auch diejenige Datenverarbeitung umfasst, die der Anbieter zur Refinanzierung seiner Dienstleistung vornimmt. Dafür könnte angeführt werden, dass die Erfüllung des Vertrages aus Sicht des Anbieters nur (nachhaltig) möglich ist, wenn auch die Refinanzierung (z.B. durch Werbung) gesichert ist.36 Dagegen spricht allerdings entscheidend, dass es der Anbieter dann alleine in der Hand hätte, zu bestimmen, welche Datenverarbeitung er vornehmen darf: Durch die Gestaltung seines Geschäftsmodells, insbesondere der Refinanzierungsquellen, könnte er sämtliche dafür erforderlichen Datenverarbeitungen und -weitergaben gewissermaßen selbst autorisieren. Der Betroffene wäre hierüber völlig im Unklaren, weil der Anbieter sein Geschäftsmodell und die dafür erforderlichen Datenverarbeitungsvorgänge ihm gegenüber nicht offenlegen muss. Dementsprechend könnte der Betroffene noch nicht einmal durch die Abstandnahme vom Vertragsschluss eine solche Datenverarbeitung verhindern, weil er schlicht nicht wüsste, welche Verarbeitungsvorgänge der Anbieter in diesem weiten Sinne „zur Erfüllung eines Vertrags“ vornimmt.37 Eine derart weite Auslegung des Art. 6 Abs. 1 lit. b DSGVO ist daher abzulehnen.38

Gleiches gilt für den Rechtfertigungsgrund der „Wahrung berechtigter Interessen“ gem. Art. 6 Abs. 1 lit. f DSGVO. Zwar kann nach Erwägungsgrund 47 a.E. der DSGVO auch die Datenverarbeitung „zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“ Bereits im Eingangssatz desselben Erwägungsgrund wird aber auf die „vernünftigen Erwartungen der betroffenen Personen“ abgestellt, die sich in aller Regel gegen eine potenziell uferlose Verarbeitung ihrer personenbezogenen Daten zu Werbezwecken – ggfs. noch unter Einschaltung von Drittanbietern – aussprechen werden. Mit dem Begriff „Direktwerbung“ (englisch: direct marketing) ist daher nach dem Gesamtkontext des Erwägungsgrund 47 nur die konventionelle Direktwerbung im Rahmen bestehender Kundenbeziehungen gemeint, nicht hingegen das targeted advertising.39

Die gesetzlichen Erlaubnistatbestände sind für die geschilderten datengetriebenen Geschäftsmodelle daher nicht ergiebig; es kommt allein auf die Einwilligung an.

III. Die datenschutzrechtliche Einwilligung im Schuldrecht

Angesichts der zentralen Rolle der Einwilligung im Rahmen der datengetriebenen Geschäftsmodelle ist nun deren Einbettung in das allgemeine Schuldrecht zu untersuchen. Dies geschieht auf zwei Ebenen: zum einen im Hinblick auf die Verpflichtung zur Einwilligung selbst, zum anderen auf die Konsequenzen ihres Widerrufs.

1. Vertragspflicht zur Einwilligung?

Auszugehen ist insoweit – bewährter Rechtstradition in Deutschland folgend – von einem datenschutzrechtlichen „Trennungsprinzip“: die Einwilligung wird zwar häufig mit der rechtsgeschäftlichen Vertragserklärung äußerlich oder zumindest zeitlich zusammenfallen; rechtlich handelt es sich aber um getrennte Erklärungen, die unterschiedlichen Voraussetzungen unterliegen und daher auch in ihrer Wirksamkeit getrennt zu beurteilen sind. Die Einwilligung erfolgt als getrenntes Erfüllungsgeschäft auf der Verfügungsebene und dient der Durchführung eines schuldrechtlichen Verpflichtungsvertrags.40

a) Anspruch des Gläubigers auf Erteilung einer Einwilligung?

Fallen – wie meist – vertragsrechtliche Willenserklärung und datenschutzrechtliche Einwilligung zeitlich zusammen, so stellt sich im Ausgangspunkt kein schuldrechtliches Problem, denn selbst wenn man einen vertraglichen Anspruch auf Erteilung einer Einwilligung annehmen wollte, wäre dieser mit deren Erklärung sogleich erfüllt. Wenn Vertragsschluss und Einwilligungserklärung allerdings zeitlich auseinanderfallen, kann sich die Frage stellen, ob der Betroffene, der sich ursprünglich wirksam (und freiwillig) vertraglich zu Erteilung der Einwilligung verpflichtet hatte, notfalls auch rechtlich zur Erteilung der Einwilligung gezwungen werden kann.41 Das gleiche gilt, wenn der Betroffene bei Vertragsschluss zwar eine Einwilligung erteilt, diese aber später widerrufen hat, im Hinblick auf eine etwaige Verpflichtung zu deren Wiedererteilung.42 Beides würde voraussetzen, dass der Vertrag dem Gläubiger einen durchsetzbaren Anspruch auf die Erteilung der Einwilligung gewähren kann.43

Hiergegen spricht allerdings, dass es ausgeschlossen erscheint, dass eine Einwilligung nach Art. 4 Nr. 11 DSGVO „freiwillig“ erfolgt ist, wenn sie mit den Mitteln des rechtlichen Zwangs durchgesetzt wurde. Hiergegen könnte zwar angeführt werden, dass zumindest die vertragliche Verpflichtung selbst freiwillig übernommen wurde, sodass dennoch die Freiwilligkeit die Wurzel der Einwilligung bildet.44 Jedoch besteht der Unterschied zwischen vertraglicher Bindung und „echter“ Freiwilligkeit der Einwilligung im relevanten Zeitpunkt für die Beurteilung der Freiwilligkeit: Für die Einwilligung geht es gerade um die Freiwilligkeit im Zeitpunkt ihrer Erklärung – und nicht im Zeitpunkt eines zeitlich vorgelagerten Vertragsschlusses. Nimmt man aber einen echten vertraglichen Anspruch auf Erteilung der datenschutzrechtlichen Einwilligung an, so könnte der Gläubiger den Betroffenen gegen seinen (dann aktuellen) Willen zur Einwilligung zwingen – ggfs. durch die gerichtliche Ersetzung der Einwilligung gem. § 894 ZPO.45 Ein solcher Zwang würde die Freiwilligkeit ohne Zweifel ausschließen. Dadurch entstünde die paradoxe Situation, dass die Einwilligung, die der Betroffene aufgrund der Durchsetzung eines vertraglichen Anspruchs erteilt, datenschutzrechtlich unwirksam wäre. Schon aus datenschutzrechtlicher Sicht würde demnach ein vertraglicher Anspruch auf Erteilung der Einwilligung ins Leere gehen.

Hinzu käme aus schuldrechtlicher Perspektive, dass ein solcher Anspruch in vielen Fällen wegen § 275 Abs. 3 BGB nicht durchsetzbar wäre, denn die Pflicht zur Erteilung einer datenschutzrechtlichen Einwilligung ist zweifellos eine höchstpersönliche und deren Verweigerung ist Ausdruck des allgemeinen Persönlichkeitsrechts des Betroffenen, das im Rahmen der nach § 275 Abs. 3 BGB erforderlichen Abwägung den Ausschlag gegen einen entsprechenden Zwang geben würde.46 Der Betroffene könnte daher stets die Einrede des § 275 Abs. 3 BGB erheben, wenn ihn der Gläubiger zur Erteilung einer Einwilligung zwingen wollte. Zuletzt könnte der Betroffene wegen der jederzeitigen Widerrufsmöglichkeit die Einrede „dolo agit qui petit quod statim redditurus est“ (§ 242 BGB) erheben, weil er die erteilte Einwilligung jederzeit widerrufen könnte.47 Insgesamt scheidet daher ein klagbarer Anspruch auf Erteilung der Einwilligung ebenso wie auf ihre Wiedererteilung nach einem Widerruf aus.48

b) Verweigerung der Einwilligung als Pflichtverletzung?

Selbst wenn aus den vorstehenden Gründen kein durchsetzbarer vertraglicher Anspruch auf Erteilung einer datenschutzrechtlichen Einwilligung in Betracht kommt, könnte die Nicht-Einwilligung nach wie vor eine Pflichtverletzung i.S.v. § 280 Abs. 1 BGB darstellen und eine Schadensersatzhaftung auslösen;49 gleiches könnte für den (vertragswidrigen) Widerruf der Einwilligung gelten.50 Denkbar wäre etwa ein Schadensersatzanspruch auf den wirtschaftlichen Wert, den die Daten für den Anbieter repräsentiert hätten – oder auch ein Rücktrittsrecht nach § 323 BGB.51

Allerdings würde die Möglichkeit derartiger Sanktionen für die Nichterteilung bzw. den Widerruf der Einwilligung dieser die Freiwilligkeit nehmen: Wer die Einwilligung nur erteilt, um Schadensersatzansprüche wegen Pflichtverletzung zu vermeiden oder aus demselben Grund von einem Widerruf der Einwilligung absieht, trifft eben gerade keine freie Entscheidung mehr über die Preisgabe seiner personenbezogenen Daten. Gerade solche Fälle hat Erwägungsgrund 42 Satz 4 a.E. DSGVO im Blick, wonach nur dann von der Freiwilligkeit der Einwilligung auszugehen ist, wenn der Betroffene „in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden“.

In einem vertragsrechtlichen Kontext kann mit „Nachteil“ zwar nicht gemeint sein, dass die verweigerte Einwilligung des Kunden bzw. deren Widerruf ohne jegliche Konsequenzen bleiben muss. Vielmehr ist bei der Auslegung dieses Begriffs zu berücksichtigen, dass die DSGVO nicht primär auf die Datenverarbeitung in vertraglichen Zusammenhängen – und erst recht nicht auf Geschäftsmodelle „Daten gegen Leistung“ – ausgerichtet ist, sondern vorrangig auf die Datenverarbeitung außerhalb vertraglicher Kontexte, insbesondere durch Behörden. In diesem Zusammenhang leuchtet ein, dass jede Einbuße des Betroffenen infolge der Verweigerung bzw. des Widerrufs einen Nachteil darstellt, der der Einwilligung ihre Freiwilligkeit nehmen würde. Anders liegt es dagegen in vertragsrechtlichen Zusammenhängen, wenn der Kunde gerade aufgrund der Datenverarbeitung durch seinen Vertragspartner besondere Vorteile als „Gegenleistung“ genießt: Nicht jeder Wegfall eines solchen Vorteils wird aus seiner Sicht einen „Gesamt-Nachteil“ des Geschäfts darstellen. Vielmehr muss der Kunde naheliegender Weise selbst von einem Gegenseitigkeitsverhältnis zwischen Einwilligung und vertraglicher „Gegenleistung“ ausgehen, sodass er weiß, dass er die korrespondierende „Gegenleistung“ nur um den Preis der Einwilligung erhalten kann; einen Anspruch auf die „Gegenleistung“ ohne Einwilligung – also quasi als „Schenkung“ – kann und wird er nicht erwarten.

Daher ist von einem „Nachteil“ im genannten Sinne nur auszugehen, wenn der Kunde infolge des Widerrufs eine zu diesem Zeitpunkt bereits erworbene Rechtsposition verliert, nicht aber dann, wenn er zukünftige Vorteile verliert, die ihm nur im Gegenzug für die fortdauernde Einwilligung versprochen waren. Danach ist zunächst jede Verschlechterung gegenüber dem Status quo ante ein Nachteil in diesem Sinne, darüber hinaus aber auch jeder Verlust von Vorteilen, die aufgrund der wirtschaftlichen Logik des Vertrags schon „erworben“ waren, für die also die „Gegenleistung“ im Sinne der datenschutzrechtlichen Einwilligung (und etwaiger monetärer Leistungen) bereits erbracht ist. Denn der Widerruf der Einwilligung wirkt nach Art. 7 Abs. 3 Satz 2 DSGVO nur ex nunc, sodass der Anbieter alle ihm bis zu diesem Zeitpunkt infolge der Einwilligung zugeflossenen Vorteile behalten kann; jedoch muss dann dem Kunden auch die korrespondierende „Gegenleistung“ zustehen.

Unter Anwendung dieses Maßstabs stellt ein Schadensersatzanspruch wegen Pflichtverletzung stets einen Nachteil in diesem Sinne dar, weil er den Kunden sogar schlechter als vor dem Vertragsschluss stellt: Dieser müsste nunmehr Geld aufwenden, wo nach dem Vertrag lediglich eine datenschutzrechtliche Einwilligung geschuldet war. Gleiches gilt für den Rücktritt gem. § 323 BGB, soweit er den Kunden zur Rückgewähr bereits erhaltener Leistungen verpflichtet, obwohl er die ihm obliegende Gegenleistung (Einwilligung) jedenfalls für den Zeitraum bis zum Widerruf schon (unumkehrbar) erbracht hat.

Derartige Sanktionen für die Ausübung des Widerrufsrechts sind daher mit der DSGVO nicht vereinbar, weil sie der Einwilligungserklärung ihre Freiwilligkeit nehmen würden.52 Das gilt nach hier vertretener Auffassung auch dann, wenn der Widerruf der Einwilligung „zur Unzeit“ erfolgt, weil diese eben nach Art. 7 Abs. 3 DSGVO jederzeit widerruflich sein soll.53 Nach hier vertretener Auffassung liegt im Widerrufsrecht daher nicht nur ein Rechtfertigungsgrund für eine im Widerruf liegende objektive Pflichtverletzung;54 vielmehr kann schon gar keine Pflicht zur Erteilung der Einwilligung wirksam vertraglich begründet werden. Dogmatisch handelt es sich vielmehr (allenfalls) um eine Naturalobligation, eine Obliegenheit oder eine bloße Rechtsgrundabrede.55

Allenfalls beim arglistigen Vorspiegeln der Bereitschaft zur (dauerhaften) Einwilligung ist eine Schadensersatzhaftung aus § 280 Abs. 1 BGB denkbar.56 Die Pflichtverletzung liegt dann aber nicht in der Verweigerung der Einwilligung (bzw. deren Widerruf), sondern in der arglistigen vorvertraglichen Täuschung, die im deutschen Recht zu einer Anfechtung des Vertrages durch den Anbieter nach § 123 Abs. 1 Alt. 2 BGB und einem Schadensersatzersatzanspruch aus culpa in contrahendo (§§ 280 Abs. 1, 241 Abs. 2, 311 Abs. 2 BGB) führen kann.

Ausgeschlossen sind nach dem Vorstehenden auch Sanktionen wegen „Nichterfüllung“, etwa wenn der Betroffene sich weigert, überhaupt Daten zu generieren, oder die Datengenerierung durch den Gläubiger vereitelt (zum Beispiel durch einen anonymen Modus seines Browsers). Auch hierin darf keine Pflichtverletzung im Sinne von § 280 Abs. 1 BGB liegen, weil daraus ansonsten ein mittelbarer Zwang zum Liefern personenbezogener Daten folgen würde, der sich mit dem auf Freiwilligkeit beruhenden Grundkonzept der DSGVO und dem dahinter stehenden Grundrecht auf informationelle Selbstbestimmung (Art. 8 EU-GRCh) nicht vertragen würde.57

Anders kann es schließlich beim (schuldhaften) Liefern falscher Daten liegen, wo vertraglich die Lieferung korrekter Daten wirksam versprochen worden war.58 Wie beim arglistigen Vorspiegeln der Bereitschaft zur Erklärung der Einwilligung liegt auch hier die eigentliche Pflichtverletzung nicht darin, die Einwilligung nicht zu erteilen, sondern in einer darüber hinausgehenden Täuschung des Vertragspartners. In aller Regel können die durch den Freiwilligkeitsgrundsatz der Einwilligung geschützten Interessen durch die schlichte Nichtlieferung von Daten oder den Widerruf der Einwilligung gewahrt sein; ein Recht zur Lieferung falscher Daten ist im Allgemeinen nicht notwendig. Anders liegt es nur dann, wenn – wie etwa in den unter dem Schlagwort „Recht zur Lüge“ im Arbeitsrecht59 bekannten Konstellationen – bereits das Abfragen der Daten eine Persönlichkeitsrechtsverletzung darstellt und das bloße Schweigen auf die Frage kein taugliches Mittel zu deren Abwehr darstellt.

Die Konsequenzen der Nichtbereitstellung personenbezogener Daten ergeben sich daher nicht aus den §§ 280ff. BGB.60 Hiervon abweichende AGB, die eine solche Schadensersatzhaftung vorsehen, verstoßen gegen die Grundgedanken der gesetzlichen Regelung in der DSGVO und sind daher gem. § 307 Abs. 1, Abs. 2 Nr. 1 BGB unwirksam.61 Anders liegt es nur bei der Bereitstellung falscher Daten, die – solange die Verpflichtung zu deren Übermittlung wirksam vereinbart wurde – auch schadensrechtlich sanktioniert werden kann.

c) Der Vertrag als Rechtsgrund für die Einwilligung (Realvertrag)

Wenn aus dem schuldrechtlichen Vertrag weder ein Anspruch noch eine Leistungspflicht auf Erteilung der Einwilligung abzuleiten ist, kommt ihm doch jedenfalls die Funktion eines bereicherungsrechtlichen Rechtsgrundes für das Behaltendürfen der aufgrund der Einwilligung in die Datenverarbeitung erhaltenen Datennutzungsmöglichkeit zu.62 Relevant ist das im Regelfall, bei dem Vertragsschluss und Einwilligung zeitlich zusammenfallen: Dort ist die Einwilligung immer dann freiwillig erteilt, wenn auch der Vertrag, in welchem sie vorgesehen ist, seinerseits freiwillig abgeschlossen wurde, sodass sich aus datenschutzrechtlicher Sicht keine Bedenken hinsichtlich ihrer Wirksamkeit ergeben. Im praktischen Ergebnis handelt es sich dann um einen Realvertrag – vergleichbar mit der Handschenkung –, bei welchem zu keinem Zeitpunkt ein durchsetzbarer Anspruch auf die Einwilligung besteht.

d) Einwilligung als Bedingung für den Vertragsschluss

Jenseits schuldrechtlicher Erwägungen wird in den meisten Fällen allerdings die Erteilung einer Einwilligung vor oder bei Vertragsschluss aus Sicht des Anbieters Voraussetzung für den Vertragsschluss sein, weil er ohne diese sein Geschäftsmodell nicht realisieren kann. Eine solche Voraussetzung kann mittels einer rechtlichen Bedingung (§§ 158ff. BGB) abgesichert werden, sodass die vertragliche Willenserklärung des Anbieters nur wirksam wird, wenn der Betroffene eine wirksame datenschutzrechtliche Einwilligung erteilt.

Die Wirksamkeit einer unter dieser Bedingung erteilten Einwilligung sollte nicht am „Koppelungsverbot“ des Art. 7 Abs. 4 DSGVO scheitern, weil gerade nicht die Erfüllung des Vertrages von der Einwilligung abhängig gemacht wird, sondern der Vertragsschluss selbst (anders insoweit noch das frühere strenge Koppelungsverbot in § 28 Abs. 3b BDSG a.F., wonach der „Abschluss eines Vertrags nicht von einer Einwilligung des Betroffenen ... abhängig“ gemacht werden durfte).63 Zu diesem Zeitpunkt besteht noch kein Anspruch des Betroffenen auf die vertragliche Leistung des Datengläubigers, in deren Hinblick die Drohung mit ihrer Nichterfüllung ein unangemessenes Druckmittel zur Erzielung der Einwilligung sein könnte. Umgekehrt muss dem Anbieter freigestellt bleiben, zu welchen Bedingungen er zu einem Vertragsschluss bereit ist; eine andere Deutung liefe letztlich auf einen Kontrahierungszwang zu seinen Lasten hinaus, obwohl der Kunde nicht bereit ist, die Voraussetzungen des Anbieters für den Vertragsschluss zu erfüllen. Der Verbraucher kann dann immer noch frei wählen, ob er den Vertrag zu den vom Anbieter gesetzten Bedingungen (einschließlich der datenschutzrechtlichen Einwilligung) abschließt oder nicht – er kann den Anbieter nur nicht zu einem Vertragsschluss ohne Einwilligung zwingen, weil er auf einen solchen gerade keinen Anspruch hat, solange nicht der Ausnahmefall eines Kontrahierungszwanges vorliegt.64 Wiederum ist es vorrangig eine Frage des Wettbewerbsrechts unter dem Gesichtspunkt des Missbrauchs einer marktbeherrschenden Stellung, ob die Bedingungen des Anbieters angemessen sind oder nicht;65 an der Freiwilligkeit i.S.v. Art. 4 Nr. 11 DSGVO kann allerdings kein Zweifel bestehen, solange der Betroffene jederzeit auch die Möglichkeit hat, den Vertrag nicht zu schließen.66

e) Fazit

In der Summe lässt sich festhalten, dass kein durchsetzbarer schuldrechtlicher Anspruch auf Erteilung einer datenschutzrechtlichen Einwilligung bestehen kann. Noch nicht einmal eine Leistungspflicht, die Maßstab für die Bestimmung einer Pflichtverletzung bzw. einer Nichterfüllung wäre, kann wirksam begründet werden. Wird in einem Vertrag die Einwilligung nicht zugleich mit dem Vertragsschluss erteilt, so hat der Gläubiger daher keinerlei Druckmittel, um vom Betroffenen die Einwilligung nachträglich gegen dessen Willen noch einzuholen. Die primäre dogmatische Funktion, die einer schuldvertraglichen Vereinbarung über die Erteilung einer datenschutzrechtlichen Einwilligung zukommt, ist mithin, den bereicherungsrechtlichen Rechtsgrund für die Einwilligung und die aufgrund dieser erfolgende Überlassung von Daten zur Verarbeitung zu bilden, wenn die Einwilligung unmittelbar bei Vertragsschluss freiwillig erteilt wird. Alternativ kann das Erfordernis der Einwilligung auch im Vorfeld des Vertrages als aufschiebende Bedingung anzusehen sein; auch dann handelt es sich um eine Obliegenheit des Betroffenen. Welcher von diesen Fällen vorliegt, ist im Wege der Auslegung im Einzelfall zu ermitteln.

2. Schicksal der Gegenleistung bei Widerruf der Einwilligung

Ausgehend von den vorstehenden Ausführungen zur Rechtsnatur einer „Vertragspflicht“ zur Einwilligung ist nun weiter zu untersuchen, wie sich der Widerruf einer Einwilligung – oder deren anfängliche Nichterteilung – auf die vertraglich vereinbarte „Gegenleistung“ auswirken.

a) Daten als Gegenleistung i.S.v. §§ 320ff. BGB?

Denkbar ist zunächst, datenschutzrechtliche Einwilligung und „Gegenleistung“ als Teile eines Synallagmas i.S.d. §§ 320ff. BGB anzusehen.67 Das würde bedeuten, dass der Gläubiger seine eigene Leistung nach § 320 BGB zurückhalten könnte, solange eine geschuldete Einwilligung noch nicht erteilt ist. Dagegen bestehen allerdings gravierende Bedenken, weil § 320 BGB dogmatisch das Bestehen zweier synallagmatischer Ansprüche voraussetzt und wirtschaftlich ein Zwangsmittel zur Durchsetzung eines Anspruchs darstellt.68 Dieses verstieße wiederum gegen das Gebot der Freiwilligkeit der datenschutzrechtlichen Einwilligung, insbesondere im Hinblick auf das Koppelungsverbot des Art. 7 Abs. 4 DSGVO, weil der Gläubiger durch die Geltendmachung der Einrede des § 320 BGB tatsächlich die Erfüllung des bereits geschlossenen Vertrags von der Erteilung der Einwilligung abhängig machen würde.69

Vertreten wird zudem, dass ein Gläubiger, der bereits vorgeleistet hat, gemäß § 323 BGB vom Vertrag zurücktreten und seine bereits erbrachte Gegenleistung zurückfordern könne, wenn die vertraglich versprochene Einwilligung ausbleibt.70 Sofern die Gegenleistung – wie in den meisten Fällen – in einer bloßen Dienstleistung bestand, müsste der Betroffene hierfür dann nach § 346 Abs. 2 Satz 1 Nr. 1 BGB Wertersatz leisten, sogar wenn er selbst ursprünglich keine monetäre Leistung (sondern nur die Einwilligung in die Datenverarbeitung) erbringen wollte. Hierin läge nach dem oben Ausgeführten ein Nachteil für den Betroffenen, der mit dem Widerruf der Einwilligung verbunden wäre und der Einwilligung gem. Erwägungsgrund 42 Satz 4 DSGVO ihre Freiwilligkeit nähme.71 Hinzu käme als weiteres Problem, dass auch der Datengläubiger nach einem Rücktritt die erhaltene Leistung – also die Nutzungsbefugnis bezüglich der personenbezogenen Daten des Kunden aufgrund von dessen Einwilligung – zurückgewähren müsste. Das widerspräche zum einen der fehlenden Rückwirkungswirkung der Einwilligung (Art. 7 Abs. 3 Satz 2 DSGVO) und würde zum anderen zu dem praktischen Problem führen, dass die Daten nicht in Natur zurückgegeben werden können, sodass (auch) hierfür Wertersatz zu leisten wäre (§ 346 Abs. 2 Satz 1 Nr. 1 BGB). Dieses Ergebnis – wechselseitige Geldzahlungspflichten – würde den Interessen beider Parteien zuwiderlaufen.

Auch aus Art. 3 Abs. 1 Satz 2 der Digitale Inhalte-Richtlinie72 folgt nichts anderes: Diese Vorschrift erstreckt zwar den Anwendungsbereich der Richtlinie auf Verträge, bei denen die Gegenleistung des Verbrauchers in der Bereitstellung personenbezogener Daten besteht, sagt aber nichts über die dogmatische Einordnung dieser Verträge aus.73

Gleichwohl lässt sich nicht leugnen, dass die datenschutzrechtliche Einwilligung für viele Geschäftsmodelle geradezu unabdingbare (faktische) Voraussetzung ist. So kann etwa eine Versicherung die Prämie für einen Telematiktarif nicht kalkulieren, wenn sie keinen Zugriff auf die Fahrdaten des Kunden hat. Die Möglichkeit einer Reduktion des Versicherungstarifs ist eine Konsequenz der gesammelten Fahrdaten, indem die Risikoeinstufung des Fahrers auf deren Grundlage präzisiert werden kann. Um eine „Gegenleistung“ im rechtlichen Sinne handelt es sich dabei aber nicht. Ähnlich liegt es bei sozialen Netzwerken, soweit es um die Einwilligung in die Weiterverbreitung der nutzergenerierten Inhalte geht: Hierbei handelt es sich um die Kernaufgabe des sozialen Netzwerks als Anbieter,74 die nur erfüllt werden kann, wenn die datenschutzrechtliche Einwilligung für die Weiterverbreitung dieser Daten besteht. Auch hier ist die Generierung der Inhalte durch die Nutzer Voraussetzung, nicht Gegenleistung für deren Weiterverbreitung.

Fehlt eine derartige faktische oder wirtschaftliche Voraussetzung für die Erbringung der „Gegenleistung“ durch den Anbieter, ohne dass ein synallagmatischer Vertrag vorliegt, so kennt das BGB verschiedene andere Reaktionsmöglichkeiten jenseits der §§ 320ff. BGB, die im Folgenden auf ihre Passung für die geschilderten datengetriebenen Geschäftsmodelle zu untersuchen sind.

b) Vom Gläubiger zu vertretende Unmöglichkeit der Leistung?

Kann der Anbieter seine Leistung ohne Vorliegen einer datenschutzrechtlichen Einwilligung des Betroffenen gar nicht erbringen, ergibt sich die Auswirkung auf die Gegenleistung bereits aus § 275 Abs. 1 BGB: Deren Erbringung ist schlicht tatsächlich oder rechtlich unmöglich. Das vertragliche Schuldverhältnis wird hierdurch zwar nicht aufgelöst; der Kunde verliert aber seinen Anspruch gegen den Anbieter nach § 275 Abs. 1 BGB und ist auch selbst nach dem oben Ausgeführten nicht zur (Wieder-)Erteilung der Einwilligung verpflichtet, sodass das Schuldverhältnis faktisch keine Ansprüche mehr begründet und in der Sache erledigt ist.

Soweit der Kunde neben der Datenüberlassung auch eine monetäre Gegenleistung schuldet, erlischt diese Gegenleistungspflicht im Ausgangspunkt nach § 326 Abs. 1 BGB, wenn der Anbieter seine Leistung wegen der fehlenden Einwilligung des Nutzers nach § 275 Abs. 1 BGB nicht mehr erbringen muss. Allerdings kann der Kunde im Sinne des § 326 Abs. 2 Satz 1 BGB „allein oder weit überwiegend verantwortlich“ für die Unmöglichkeit der Leistungserbringung sein. Insoweit sind die Beweggründe des Kunden für den Widerruf der Einwilligung im Einzelnen zu untersuchen: Einerseits sollte der Kunde sich nicht allein durch den Widerruf der Einwilligung von einem Vertrag befreien können, der ihm aus anderen Gründen lästig oder zu teuer geworden ist; was für eine Anwendung des § 326 Abs. 2 Satz 1 BGB spricht. Andererseits kann es eine unzulässige Sanktion des Widerrufs der Einwilligung darstellen, wenn diese dazu führt, dass der Kunde nunmehr zwar wegen § 275 Abs. 1 BGB keine Gegenleistung mehr erhält, den Preis wegen § 326 Abs. 2 Satz 1 BGB aber weiterhin in voller Höhe bezahlen muss. Das Merkmal der „alleinigen oder weit überwiegenden Verantwortlichkeit“ bietet jedoch hinreichenden Spielraum für die Berücksichtigung dieser Umstände zur Erzielung angemessener Lösungen im Einzelfall unter Berücksichtigung der Wertungen der DSGVO.

c) Condictio ob rem (§ 812 Abs. 1 Satz 2 Alt. 2 BGB)

Für vertraglich vereinbarte Leistungen, die einander synallagmatisch gegenüberstehen, ohne dass sie wirksam rechtlich vereinbart werden können, tritt die condictio ob rem (§ 812 Abs. 1 Satz 2 Alt. 2 BGB) an die Stelle des allgemeinen Leistungsstörungsrechts.75 Widerruft der Betroffene seine datenschutzrechtliche Einwilligung, so kann damit der „mit der Leistung bezweckte Erfolg“ für die Gegenseite entfallen, mit der Folge, dass diese ihre bereits erbrachte Leistung zurückfordern kann. Freilich setzt dies voraus, dass die datenschutzrechtliche Einwilligung als quasi-synallagmatische Gegenleistung für die Leistung des Anbieters vereinbart wurde und dieser in Vorleistung gegangen ist. Wie soeben ausgeführt, dürfte dies in den seltensten Fällen der Fall sein.

Ein „Nachteil“ i.S.v. Erwägungsgrund 42 Satz 4 DSGVO im oben beschriebenen Sinne76 liegt darin nicht, wenn nur derjenige Teil der Leistung des Anbieters zurückgefordert wird, der tatsächlich im (vertraglich bestimmten) Synallagma zu der pro futuro erteilten und vereinbarten Einwilligung stand und dessen Zweck bei objektiver Bestimmung weggefallen ist. Die letztgenannte Frage werden die Gerichte unter besonderer Berücksichtigung des Freiwilligkeitserfordernisses der Einwilligung und des Erwägungsgrund 42 Satz 4 DSGVO streng zu prüfen haben.

d) Kündigung aus wichtigem Grund (§ 314 BGB)

Der Widerruf der Einwilligung kann im Rahmen von Dauerschuldverhältnissen ferner einen wichtigen Grund für die außerordentliche Kündigung gemäß § 314 BGB darstellen.77 Das wird insbesondere dann anzunehmen sein, wenn die Möglichkeit der Verarbeitung von Nutzerdaten wesentlich für die Kalkulation der „Gegenleistung“ des Anbieters ist. Voraussetzung ist dann allerdings, dass infolge des Widerrufs der Einwilligung dem Anbieter das weitere Festhalten am Vertrag nicht mehr zugemutet werden kann. Dies erfordert eine umfassende Interessenabwägung, in die einerseits die wirtschaftlichen Interessen des Anbieters an der Gestaltung und Refinanzierung seines Angebots und andererseits die Interessen des Nutzers am weiteren Bezug der Leistungen einzustellen sind. Grundlage hierfür ist das vertraglich vorausgesetzte Äquivalenzverhältnis von Leistung und „Gegenleistung“ (einschließlich der Einwilligung in die Datenverarbeitung). Zudem ist zu berücksichtigen, dass die Kündigung des Vertrages keinen „Nachteil“ im Sinne einer Sanktion für die Ausübung des Widerrufsrechts darstellen darf.

Insofern kann an die obigen Ausführungen zur Bedingungskonstruktion78 angeknüpft werden: Wenn der Anbieter legitimerweise die Einwilligung des Nutzers in die Datenverarbeitung zur Voraussetzung des Vertragsschlusses und damit seiner Leistungserbringung machen darf, so muss es ihm auch freistehen, für die Zukunft vom Vertrag Abstand zu nehmen und seine Leistung nicht mehr zu erbringen, wenn der Betroffene diese Bedingung während der Vertragslaufzeit nicht mehr erfüllt. Daher dürfte die außerordentliche Kündigung häufig zulässig sein, soweit der Kunde durch den Widerruf der Einwilligung das Äquivalenzverhältnis für die Zukunft stört, d.h. der Anbieter für seine zukünftig zu erbringenden Leistungen nicht die vertraglich vereinbarte Gegenleistung in Gestalt der Einwilligung erhält. Anders liegt es nur, wenn der Kunde auf die Dienstleistung existenziell angewiesen ist und der marktbeherrschende Anbieter unangemessene Bedingungen stellt.

Der Unterschied zum – hier abgelehnten – Zurückbehaltungsrecht aus § 320 BGB besteht darin, dass für § 314 BGB eine Zumutbarkeitsprüfung vorzunehmen ist, die unter besonderer Berücksichtigung des Freiwilligkeitserfordernisses der Einwilligung im Lichte des Erwägungsgrund 42 Satz 4 DSGVO zu erfolgen hat. Dadurch kann sichergestellt werden, dass die Möglichkeit einer außerordentlichen Kündigung kein regelhafter Mechanismus ist, der den Kunden vom Widerruf seiner Einwilligung abhalten könnte, sondern sie nur dann besteht, wenn durch den Widerruf das vertragliche Äquivalenzverhältnis pro futuro so gestört ist, dass dem Anbieter das weitere Festhalten zu unveränderten Konditionen nicht mehr zumutbar ist.

e) Wegfall der Geschäftsgrundlage (§ 313 BGB)

In gleicher Weise ist denkbar, dass die Fortdauer der Einwilligung Geschäftsgrundlage des Vertrages i.S.v. § 313 BGB ist.79 Widerruft der Betroffene sie später, so fällt die Geschäftsgrundlage weg. Wie bei § 314 BGB auch stellt sich im Rahmen des § 313 Abs. 1 BGB die Frage, ob die weitere Fortführung des Vertrags zu unveränderten Bedingungen dem Anbieter zuzumuten ist, was häufig nicht der Fall sein wird. Dann besteht zunächst ein Anspruch auf Vertragsanpassung, etwa in Gestalt der Erhöhung einer vom Nutzer zu erbringenden finanziellen Leistung oder einer Reduktion des Leistungsumfangs des Vertragspartners, wenn infolge der fehlenden Einwilligung des Nutzers etwa geringere Werbeerlöse zur Refinanzierung der Dienstleistung anfallen. Ist eine solche Anpassung einer der Parteien nicht zumutbar, folgt aus § 313 Abs. 3 Satz 1 BGB ein Rücktrittsrecht für punktuelle Austauschbeziehungen bzw. für Dauerschuldverhältnisse ein Kündigungsrecht nach § 313 Abs. 3 Satz 2 BGB.80

f) Widerruf der Einwilligung als auflösende Bedingung (§§ 158ff. BGB)

Ebenso wie die vorherige Einwilligung zur aufschiebenden Bedingung eines Vertragsschlusses gemacht werden kann, kann auch der Widerruf der Einwilligung als auflösende Bedingung vereinbart werden. Diese wirkt im Zweifel ex nunc (§§ 159 Abs. 2, 159 BGB), ebenso wie der Widerruf der Einwilligung, sodass die Gegenleistung erst ab dem Zeitpunkt des Widerrufs nicht mehr geschuldet ist. Freilich ist für eine derartige Bedingung erforderlich, dass sie entweder ausdrücklich vereinbart ist oder zumindest aus dem Parteiwillen eindeutig hervorgeht (§§ 133, 157 BGB). Das wird nur selten der Fall sein.

g) Vertragsklauseln sui generis

Die in der Praxis weitaus häufigste Lösung dürfte in der Vereinbarung spezifischer Vertragsklauseln für den Fall des Widerrufs der Einwilligung liegen, die i.d.R. Rücktritts- oder Kündigungsrechte vorsehen.81 Derartige Klauseln sind grundsätzlich möglich, sofern sie einer AGB-Kontrolle standhalten. In Ermangelung spezifischer Klauselverbote in den §§ 308, 309 BGB richtet sich diese danach, ob die Klausel mit wesentlichen Grundgedanken der gesetzlichen Regelung nicht zu vereinbaren ist (§ 307 Abs. 1, 2 Nr. 1 BGB). Dieses gesetzliche Leitbild ergibt sich aus den vorstehenden denkbaren gesetzlichen Rechtsfolgen für den Widerruf einer Einwilligung und lässt sich dahingehend zusammenfassen, dass Sanktionen, die dem Kunden Rechte nehmen, die zum Zeitpunkt des Widerrufs bereits als definitiv erworben anzusehen sind, unzulässig sind, weil sie den Kunden von der Ausübung seines Widerrufsrechts abhalten könnten. Demgegenüber begründen Regelungen, die lediglich pro futuro die wirtschaftlichen Konsequenzen des Widerrufs ziehen und insbesondere das vertragliche Äquivalenzverhältnis für die Zukunft daran anpassen, keinen „Nachteil“ i.S.v. Erwägungsgrund 42 Satz 4 DSGVO und sind daher zulässig. Soweit die Klauseln derartige Konsequenzen lediglich festhalten, näher ausformen und präzisieren, sind diese aus AGB-rechtlicher Sicht unbedenklich; insbesondere liegt dann kein Verstoß gegen das Freiwilligkeitserfordernis der Einwilligung vor. Erst wenn die in den AGB vorgesehenen Konsequenzen darüber hinausgehen und etwa Schadensersatzpflichten oder andere überschießende Sanktionen für den Widerruf einer Einwilligung vorsehen, verstoßen diese gegen § 307 Abs. 1, 2 Nr. 1 BGB und sind daher unwirksam.

IV. Ergebnisse

 1. Verträge über den Austausch von „Leistung gegen Daten“ sind vielgestaltig und enthalten häufig andere Gegenleistungskomponenten neben der bloßen datenschutzrechtlichen Einwilligung.

 2. Die datenschutzrechtliche Einwilligung ist nur wirksam, wenn sie freiwillig erteilt wird. Dies schließt jede Form des – unmittelbaren oder mittelbaren – rechtlichen Zwangs zur Erteilung einer Einwilligung aus.

 3. Die datenschutzrechtliche Einwilligung muss jederzeit widerruflich sein. Das Widerrufsrecht darf dem Betroffenen auch nicht dadurch verleidet werden, dass das Gesetz oder der Vertrag Nachteile an seine Ausübung knüpft. Das schließt insbesondere Schadenersatzsanktionen und im Regelfall auch ein in die Vergangenheit wirkendes Rücktrittsrecht aus.

 4. Eine vertragliche „Pflicht“ zur Einwilligung kann weder eine Leistungspflicht noch einen durchsetzbaren Anspruch des Gläubigers begründen, sondern – wie bei einem Realvertrag – lediglich eine Obliegenheit. Denkbar ist auch, die Einwilligung lediglich als aufschiebende Bedingung für den Vertragsschluss auszugestalten.

 5. Die Vorschriften über synallagmatische Verträge (§§ 320ff. BGB) sind auf Verträge über „Daten gegen Leistung“ nicht anwendbar. Insbesondere sind sowohl die Einrede des nichterfüllten Vertrags (§ 320 BGB) als auch das Rücktrittsrecht aus § 323 BGB im Hinblick auf eine nicht erteilte oder widerrufene Einwilligung ausgeschlossen.

 6. Soweit die Einwilligung eine Voraussetzung für die technische oder rechtliche Möglichkeit der Erbringung der Gegenleistung ist, schließt deren Widerruf den Anspruch auf die Gegenleistung gem. § 275 Abs. 1 BGB aus. Ob der Betroffene daneben noch zur Erbringung einer zusätzlich vereinbarten (insbesondere finanziellen) Gegenleistung verpflichtet bleibt, ist im Einzelfall am Maßstab des § 326 Abs. 2 Satz 1 BGB zu bestimmen.

 7. Bereits erbrachte Leistungen können bei Widerruf der Einwilligung in der Regel nicht zurückgefordert werden (Wirkung nur pro futuro). Eine Ausnahme kann insoweit allenfalls § 812 Abs. 1 Satz 2 Alt. 2 BGB bilden, wenn eine einmalige Leistung als Gegenleistung für eine Einwilligung betreffend eines längeren Zeitraums erbracht wurde und die Einwilligung dann vor Ende des Zeitraums widerrufen wird.

 8. Im Übrigen sind – je nach dem Einzelfall – andere Auswirkungen des Widerrufs der Einwilligung auf die „Gegenleistung“ denkbar: In vielen Konstellationen wird er einen Grund zur außerordentlichen Kündigung (§ 314 BGB) oder einen Wegfall der Geschäftsgrundlage (§ 313 BGB) darstellen. Möglich ist auch, dass die Parteien den Widerruf als auflösende Bedingung vereinbaren, sodass der Vertrag mit Bedingungseintritt ex nunc wegfällt.

 9. Letztendlich obliegt es den Parteien im Rahmen ihrer Vertragsgestaltung, angemessene Konsequenzen für den Widerruf der Einwilligung zu vereinbaren. Leitschnur für eine AGB-rechtliche Kontrolle ist dabei, dass lediglich technisch oder wirtschaftlich notwendige Konsequenzen aus dem Widerruf gezogen und ggfs. die Erbringung der Gegenleistung zu unveränderten Bedingungen für die Zukunft verweigert werden dürfen. Darüber hinaus gehende Sanktionen, etwa Rücktrittsrechte, die für die Vergangenheit wirken, oder Schadensersatzpflichten sind dagegen regelmäßig unzulässig, weil sie den Betroffenen von der freien Ausübung seines Widerrufsrechts abhalten würden.

1 Ausgehend von Taeger, Die Volkszählung, 1983, über Taeger, Umweltschutz und Datenschutz, 1991, und Taeger, Grenzüberschreitender Datenverkehr und Datenschutz in Europa, 1995; Taeger, in: Salger, Handbuch der europäischen Rechts- und Wirtschaftspraxis, 1996, S. 1281ff., bis Taeger, Datenschutzrecht, 2014, und aktuell Taeger/Gabel (Hrsg.), DSGVO/BDSG, 3. Aufl. 2019. 2 Siehe insbesondere Taeger/Kremer, Recht im E-Commerce und Internet, 2017, sowie Taeger/Rose, Wirtschaftsprivatrecht, 6. Aufl. 2016. 3 Siehe etwa Langhanke/Schmidt-Kessel, EuCML 2015, 218ff.; Metzger, AcP 216 (2016), 817ff.; Graf von Westphalen/Wendehorst, BB 2016, 2179ff.; Schmidt-Kessel/Grimm, ZfPW 2017, 84ff.; Specht, JZ 2017, 763ff.; Dix, ZEuP 2017, 1ff.; Langhanke, Daten als Leistung, 2018; Sattler, in: Schmidt-Kessel/Grimm, Telematiktarife & Co. – Versichertendaten als Prämienersatz, 2018, S. 1ff.; Hacker, ZfPW 2019, 148ff.; Specht, OdW 2017, 121ff. 4 Richtlinie (EU) 2019/770 des Europäischen Parlaments und des Rates v. 20.5.2019 über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen, ABl. 2019 Nr. L 136, S. 1; siehe auch Art. 3 Abs. 1a RL 2011/83/EU n.F. 5 Hierzu Dix, ZEuP 2017, 1ff. 6 Dazu unten II. 2. 7 So etwa Schantz, NJW 2016, 1841, 1845; Ernst, in: Paal/Pauly, DS-GVO/BDSG, 2. Aufl. 2018, Art. 4 DSGVO Rn. 73; wohl auch Stemmer, in: BeckOK Datenschutzrecht, 28. Aufl. 2019, Art. 7 DSGVO Rn. 46; a.A. z.B. Klement, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 7 DSGVO Rn. 63. 8 Näher Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 7), Art. 6 DSGVO Rn. 34f. 9 Siehe dazu eingehend Hacker, ZfPW 2019, 148, 151ff.; Schmidt-Kessel/Grimm, ZfPW 2017, 84, 86ff. 10 Hacker, ZfPW 2019, 148, 152; siehe aber auch die weniger eindeutigen Ergebnisse der Studie von Marotta/Abhishek/Acquisti, Online Tracking and Publishers’ Revenues: An Empirical Analysis, https://weis2019.econinfosec.org/wp-content/uploads/sites/6/2019/05/WEIS_2019_paper_38.pdf. 11 Hacker, ZfPW 2019, 148, 154f.: „Rabattmodelle“; a.A. zu Unrecht Schmidt-Kessel/Grimm, ZfPW 2017, 84, 87, die hier die Datenüberlassung der Zahlung eines Entgelts gleichstellen; dabei wird übersehen, dass die Daten als solche schon wegen des Verbots versicherungsfremder Geschäfte (§ 15 VAG) einen vernachlässigbaren wirtschaftlichen Wert für die Versicherer haben, der über die feinere Risikoeinstufung hinausgeht; siehe zum Ganzen auch Brand, VersR 2019, 725, 727, 733. 12 Das übersieht Hacker, ZfPW 2019, 148, 153f., der hier von „vollkommen datenfinanzierten Modellen“ spricht. 13 Vgl. BGH, NJW 2018, 3640; BGH, NJW 2020, 64. 14 Siehe nur Taeger, BvD-News 1/2019, 32, 32. 15 Schmidt-Kessel/Grimm, ZfPW 2017, 84, 89f.; Buchner, DuD 2010, 39, 39; i. Erg. auch Specht, JZ 2017, 763, 768. 16 Diese unterliegt allerdings den Regelungen des BGB über Rechtsgeschäfte nur insoweit, als die DSGVO keine Spezialvorschriften enthält, vgl. etwa Art. 8 Abs. 1 Satz 2 DSGVO zu den Altersgrenzen und den gesetzlichen Vertretern als Sonderregelung gegenüber §§ 2, 106, 111 BGB. 17 Albers/Veit, in: BeckOK Datenschutzrecht, Stand: 1.5.2018, Art. 6 DSGVO Rn. 19; näher Stemmer, in: BeckOK Datenschutzrecht (Fn. 7), Art. 7 DSGVO Rn. 28ff. 18 Graf von Westphalen/Wendehorst, BB 2016, 2179, 2184; Schmidt-Kessel/Grimm, ZfPW 2017, 84, 91f.; Langhanke (Fn. 3), S. 119; a.A. Sattler, in: Schmidt-Kessel/Grimm (Fn. 3), S. 34ff.; offener auch Specht, JZ 2017, 763, 769 Fn. 45; Specht, OdW 2017, 121, 125f.; zum alten BDSG auch Buchner, Informationelle Selbstbestimmung im Privatrecht, 2006, S. 273. 19 Metzger, AcP 216 (2016), 817, 825. 20 Siehe dazu unten II. 3. 21 Siehe zu diesem Problem – allerdings noch zum alten BDSG – auch Buchner (Fn. 18), S. 253ff. 22 So offenbar Specht, JZ 2017, 763, 768; allerdings setzen § 138 Abs. 1, 2 BGB zusätzlich ein auffälliges Missverhältnis zwischen Leistung und Gegenleistung voraus (siehe nur Armbrüster, in: Münchener Kommentar zum BGB, 8. Aufl. 2018, § 138 Rn. 113ff.), woran es bei den datengetriebenen Geschäftsmodellen jedenfalls zulasten des Kunden in aller Regel fehlen wird. 23 Ernst, in: Paal/Pauly (Fn. 7), Art. 4 DSGVO Rn. 69ff.; Klement, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 7), Art. 7 DSGVO Rn. 54. 24 Statt aller Stemmer, in: BeckOK Datenschutzrecht (Fn. 7), Art. 7 DSGVO Rn. 24; Heckmann/Paschke, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 7 DSGVO Rn. 22. 25 So etwa Schantz, NJW 2016, 1841, 1845; Ernst, in: Paal/Pauly (Fn. 7), Art. 4 DSGVO Rn. 73; wohl auch Stemmer, in: BeckOK Datenschutzrecht (Fn. 7), Art. 7 DSGVO Rn. 46; a.A. z.B. Klement, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 7), Art. 7 DSGVO Rn. 63. 26 Hacker, ZfPW 2019, 148, 156f.: „Data on top-Modell“. 27 So etwa Ernst, in: Paal/Pauly (Fn. 7), Art. 7 DSGVO Rn. 73; Buchner/Kühling, in: Kühling/Buchner, DS-GVO/BDSG, 2. Aufl. 2018, Art. 7 DSGVO Rn. 50; Dix, ZEuP 2017, 1, 4; Schantz, NJW 2016, 1841, 1845. 28 So etwa Sattler, in: Schmidt-Kessel/Grimm (Fn. 3), S. 18f. (zu Art. 6 Abs. 1 lit. b DSGVO); noch großzügiger Schmidt-Kessel/Grimm, ZfPW 2017, 84, 91, die Art. 7 Abs. 4 DSGVO für Verträge über „Daten gegen Leistung“ letztlich nur ein Transparenzgebot entnehmen wollen. 29 In diese Richtung etwa Dix, ZEuP 2017, 1, 5; Buchner (Fn. 18), S. 266 sowie – dies zugleich als „lebensfremd“ bewertend – Bräutigam, MMR 2012, 635, 636; siehe hierzu auch Metzger, AcP 216 (2016), 817, 823. 30 Siehe dazu OLG Düsseldorf, MMR 2019, 741, sowie Langhanke/Schmidt-Kessel, EuCML 2015, 218, 222. 31 Jung, in: Grabitz/Hilf/Nettesheim, EUV/AEUV, Stand: 04/2015, Art. 102 AEUV Rn. 389. 32 Buchner (Fn. 18), S. 266f. 33 Buchner/Petri, in: Kühling/Buchner (Fn. 27), Art. 6 DSGVO Rn. 23; siehe mit Hinweis auf § 242 BGB auch Taeger, in: Taeger/Gabel, DSGVO/BDSG, 3. Aufl. 2019, Art. 7 DSGVO Rn. 72f. 34 Vgl. Albers/Veit, in: BeckOK Datenschutzrecht (Fn. 17), Art. 6 DSGVO Rn. 27; Schulz, in: Gola, DS-GVO, 2. Aufl. 2018, Art. 6 DSGVO Rn. 11. 35 Siehe auch Metzger, AcP 216 (2016), 817, 823; Buchner, DuD 2010, 39, 40; Buchner (Fn. 18), S. 254f.; demgegenüber rät Taeger, BvD-News 1/2019, 32, 33, von der vorsorglichen Einholung einer Einwilligung ab. 36 Angedeutet bei Radlanski, Das Konzept der Einwilligung in der datenschutzrechtlichen Realität, 2015, S. 207ff. 37 Für einen Schutz der Verbraucher vor der Ausweitung vertraglicher Leistungsbeschreibungen zur Ermöglichung der Datenverarbeitung auf der Grundlage des Art. 6 Abs. 1 lit. b DSGVO auch Wendehorst/Graf von Westphalen, NJW 2016, 3745, 3747. 38 Ebenso Graf von Westphalen/Wendehorst, BB 2016, 2179, 2185; Wendehorst/Graf von Westphalen, NJW 2016, 3745, 3747; Sattler, in: Schmidt-Kessel/Grimm (Fn. 3), S. 19. 39 Ebenso Wendehorst/Graf von Westphalen, NJW 2016, 3745, 3746. 40 Ebenso Metzger, AcP 216 (2016), 817, 831ff.; Specht, JZ 2017, 763, 765; implizit auch Schmidt-Kessel/Grimm, ZfPW 2017, 84, 102, 104. 41 Dazu aus dogmatischer Sicht Riehm, in: 2. FS Canaris, 2017, S. 345, 354ff. 42 Siehe auch Langhanke (Fn. 3), S. 125ff. 43 Dies hält etwa Spindler, MMR 2016, 147, 150, für möglich; ebenso wohl Specht, JZ 2017, 763, 767 (jedenfalls als Nacherfüllungsanspruch). 44 Dieser Zusammenhang wird angedeutet bei Specht, JZ 2017, 763, 768. 45 Für einen Ausschluss der Vollstreckbarkeit immerhin Specht, JZ 2017, 763, 767. 46 Siehe hierzu Riehm, in: BeckOGK BGB, Stand: 1.2.2020, § 275 Rn. 276. 47 So Pohlmann, in: Schmidt-Kessel/Grimm (Fn. 3), S. 73, 82; Langhanke (Fn. 3), S. 127. 48 Ebenso die h.M., vgl. Pohlmann, in: Schmidt-Kessel/Grimm (Fn. 3), S. 103. 49 Aus dogmatischer Sicht ist zwischen dem klagbaren und in Natur durchsetzbaren Anspruch einerseits und der „bloßen“ Leistungspflicht als Grundlage für die Bestimmung einer Pflichtverletzung i.S.v. § 280 I BGB zu unterscheiden, vgl. eingehend Riehm (Fn. 41). 50 Siehe hierzu Langhanke (Fn. 3), S. 137ff. 51 Dies befürwortend Metzger, AcP 216 (2016), 817, 852f., 864. 52 Ebenso Graf von Westphalen/Wendehorst, BB 2016, 2179, 2184; Schmidt-Kessel/Grimm, ZfPW 2017, 84, 103f., sowie zur Rechtslage vor der DSGVO Langhanke/Schmidt-Kessel, EuCML 2015, 218, 221f. 53 Ebenso Metzger, AcP 216 (2016), 817, 825; anders noch Langhanke/Schmidt-Kessel, EuCML 2015, 218, 222; Langhanke (Fn. 3), S. 138 (jeweils zur Rechtslage vor der DSGVO). 54 So Schmidt-Kessel/Grimm, ZfPW 2017, 84, 103f.; wohl auch Metzger, AcP 216 (2016), 817, 835; noch weitergehend geht Specht, JZ 2017, 763, 767, sogar nur von fehlendem Verschulden aus. 55 Dazu sogleich III. 1. c). 56 Insoweit ebenso Langhanke/Schmidt-Kessel, EuCML 2015, 218, 222; wohl auch Schmidt-Kessel/Grimm, ZfPW 2017, 84, 104. 57 Anders offenbar Metzger, AcP 216 (2016), 817, 849f. 58 Siehe dazu Langhanke (Fn. 3), S. 142ff. sowie Metzger, AcP 216 (2016), 817, 859ff. (Letzterer für eine Anwendbarkeit der mietrechtlichen Gewährleistung zulasten des Kunden). 59 Siehe dazu nur Armbrüster, in: MüKo-BGB (Fn. 22), § 123 Rn. 46ff. 60 Ausdrücklich a.A. Metzger, AcP 216 (2016), 817, 852f. 61 A. A. wohl Metzger, AcP 216 (2016), 817, 850. 62 Pohlmann, in: Schmidt-Kessel/Grimm (Fn. 3), S. 82; siehe zu dieser Funktion der Obligation näher Riehm (Fn. 41), S. 349ff. 63 Insoweit a.A. Klement, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 7), Art. 7 DSGVO Rn. 57; Taeger, BvD-News 1/2019, 32, 34. 64 Ebenso Metzger, AcP 216 (2016), 817, 823; Buchner, DuD 2010, 39, 41; Buchner (Fn. 18), S. 267; skeptisch dagegen Menzel, DuD 2008, 400, 406; Zscherpe, MMR 2004, 723, 727. 65 Buchner, DuD 2010, 39, 41; ähnlich Specht, JZ 2017, 763, 766; Klement, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 7), Art. 7 DSGVO Rn. 62. 66 Siehe bereits oben II. 2. 67 So etwa Schmidt-Kessel/Grimm, ZfPW 2017, 84, 104; Specht, OdW 2017, 121, 123 m.w.N. 68 Näher Riehm (Fn. 41), S. 356. 69 Siehe oben II. 2 sowie III. 1. b). 70 Schmidt-Kessel/Grimm, ZfPW 2017, 84, 104f.; de lege ferenda auch Specht, JZ 2017, 763, 769; Specht, OdW 2017, 121, 126. 71 Oben III. 1. b); insoweit a.A. Specht, in: Briner/Funk, DGRI Jahrbuch 2017, 2018, S. 35 (Rn. 13). 72 Oben Fn. 4. 73 Ebenso Metzger, AcP 216 (2016), 817, 833. 74 Magnus, MMR 2019, 542, 543; Beurskens, NJW 2018, 3418, 3420; Müller-Riemenschneider/Specht, MMR 2018, 547, 547. 75 Larenz/Canaris, Lehrbuch des Schuldrechts II/2, 13. Aufl. 1994, § 68 I 3a (S. 150f.). 76 Oben III. 1. b). 77 Ebenso im Ansatz Langhanke/Schmidt-Kessel, EuCML 2015, 218, 222; Schmidt-Kessel/Grimm, ZfPW 2017, 84, 103; im Ergebnis auch Metzger, AcP 216 (2016), 817, 859f.; Specht, JZ 2017, 763, 768: Anwendung des § 543 Abs. 2 Nr. 1 BGB. 78 Oben III. 1. b). 79 Zur Anwendbarkeit auf Verträge „Daten gegen Leistung“ Schmidt-Kessel/Grimm, ZfPW 2017, 84, 103. 80 Die Kündigungsrechte aus § 313 und § 314 BGB bestehen nach h.M. nebeneinander, vgl. BGH, ZIP 2014, 1382 Rn. 31 ff.; Martens, in: BeckOGK BGB, Stand: 1.6.2019, § 313 Rn. 190. 81 Der Telematiktarif der HUK Kfz-Versicherung enthielt z.B. folgende Klausel: „Sie und wir können diesen Vertrag außerdem aus wichtigem Grund fristlos kündigen. Wichtige Gründe sind beispielsweise: Sie oder der Halter stimmen der datenschutzrechtlichen Einwilligungserklärung des Smart Driver Programms nicht zu. Oder sie widerrufen die Einwilligung.“ (HUK24 Smart Driver Vertrag, Stand: 2018).