Read the book: «DSGVO - BDSG - TTDSG», page 55

Font:

II. Anforderungen an die Einwilligung eines Kindes (Abs. 1)
1. Dienste der Informationsgesellschaft

Art. 8 Abs. 1 Satz 1 DSGVO knüpft zunächst daran an, dass bei einem Angebot eines Dienstes der Informationsgesellschaft (Diensteanbieter), das einem Kind gegenüber gemacht wird, personenbezogene Daten (auch) auf der Grundlage einer Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO verarbeitet werden. In diesem Fall soll die Verarbeitung nur dann rechtmäßig sein, wenn das Kind zum Zeitpunkt seiner Einwilligung das 16. Lebensjahr vollendet hat. Aus dieser Formulierung folgt, dass der Verordnungsgeber unter einem „Kind“ zunächst alle nicht volljährigen Personen ansieht. Soweit diese Personen das 16. Lebensjahr vollendet haben, geht der Verordnungsgeber von deren Einsichtsfähigkeit aus, sodass sie selbst wirksam in die Verarbeitung durch den Anbieter eines Dienstes der Informationsgesellschaft einwilligen können, soweit auch die Anforderungen aus Artt. 4 Nr. 11, 7 DSGVO beachtet wurden. Letztlich reguliert Art. 8 also die Anforderungen an die Rechtmäßigkeit der Verarbeitung von Daten derjenigen Personen, die bei Nutzung eines Dienstes der Informationsgesellschaft das 16. Lebensjahr nicht vollendet haben und einen Dienst der Informationsgesellschaft nutzen;27 diese Anforderungen ergänzen kumulativ diejenigen, die sich aus den allgemeinen Anforderungen an eine Einwilligung aus Art. 4 Nr. 11 und Art. 7 DSGVO ergeben.

Die Anforderung ist nur dann beachtlich, wenn eine Einwilligung von einem Verantwortlichen im Rahmen des Angebots eines Dienstes der Informationsgesellschaft eingeholt wird. Nach der Legaldefinition des Art. 4 Nr. 25 DSGVO handelt es sich dabei um „eine Dienstleistung im Sinne des Artikels 1 Nummer 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates“.28 Dort findet sich dann die Konkretisierung dahingehend, dass „jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“ als Dienst der Informationsgesellschaft zu verstehen ist.29 Demnach müssen die folgenden Voraussetzungen erfüllt sein: Es muss sich um einen Dienst handeln, der regelmäßig gegen Entgelt, elektronisch, im Fernabsatz und auf individuellen Abruf eines Empfängers erbracht wird. Die Definition ist bewusst offen und neutral definiert, um künftige neue elektronische, über das Internet angebotene Dienste einbeziehen zu können. Hilfreich ist der Katalog von Beispielen im Anhang 1 der vorgenannten Richtlinie, der Dienste auflistet, die nicht als Dienste der Informationsgesellschaft anzusehen sind. Das sind etwa solche, die nicht individuell oder die nicht online erbracht werden oder als Rundfunk oder Telekommunikationsdienste einzuordnen sind.30 Zu beachten ist aber, dass etwa der GMail-Dienst nach einer Entscheidung des EuGH kein Telekommunikationsdienst nach § 6 TKG ist, sondern ein Over-the-top-Kommunikationsdienst (OTT-Dienst), der damit doch ein Dienst der Informationsgesellschaft ist, ebenso wie etwa auch Threema oder WhatsApp.31 Problematisch ist das Kriterium „regelmäßig gegen Entgelt“, weil damit nicht nur diejenigen Dienste erfasst werden, für deren Nutzung eine einmalige oder – wie bei Streamingdiensten – wiederkehrende Zahlung gefordert wird. Die Einschränkung „in der Regel“ unterstreicht die Offenheit der Definition der „Dienste der Informationsgesellschaft“ auch insofern, als ErwG 38 auch Präventions- und Beratungsdienste nennt, die typischerweise kein Entgelt – in welcher Form auch immer – erheben, keine Werbung enthalten und auch nicht die Daten der Nutzer für ihre eigenen Zwecke verwenden.32 Derartige Dienste werden demnach auch von Art. 8 DSGVO erfasst. Ansonsten ist anerkannt, dass eine entgeltliche Leistung auch dann vorliegt, wenn der Dienst wirtschaftlich betrieben wird, etwa dadurch, dass der eine Leistung beanspruchende Nutzer mit seiner Aufmerksamkeit für die präsentierte Werbung33 oder mit seinen „Daten“34 bezahlt. Auch die Richtlinie über Verträge über digitale Inhalte und Dienstleistungen (siehe Art. 6 Rn. 62f.) geht davon aus, dass eine Gegenleistung auch in Form der Überlassung personenbezogener Daten erfolgen kann.35 Ausgeschlossen sind damit nur die Dienste, die ohne Zahlung und ohne Verwertung der Daten des Nutzers angeboten werden. Dazu gehört beispielsweise die Contact Tracing App (Corona-Warn-App), die unentgeltlich anonym genutzt wird. Nutzen Personen, die das 16. Lebensjahr noch nicht vollendet haben, diese App, so findet Art. 8 DSGVO keine Anwendung.36 Handelt es sich – aus welchem Grund auch immer – nicht um einen Dienst der Informationsgesellschaft, findet Art. 8 DSGVO ebenfalls mit der Folge keine Anwendung, dass die allgemeinen Regelungen über die Einwilligung anzuwenden sind, wobei die das 16. Lebensjahr nicht vollendete Person dann die notwendige Einsichtsfähigkeit haben muss.37 Aus dem Normgehalt des Art. 8 DSGVO erschließt sich, dass die von Art. 7 geforderte Einsichtsfähigkeit bei Personen über 16 Jahren anzunehmen ist.38 Bei jüngeren Kindern wird die Einsichtsfähigkeit im Einzelfall unter Berücksichtigung des Entwicklungsstadiums des Kindes und der Art des Dienstes zu prüfen sein. Tendenziell kann die Einsichtsfähigkeit bei Kindern ab dem 14. Lebensjahr eher angenommen werden; bei noch jüngeren Kindern wird sie vorbehaltlich einer Prüfung im Einzelfall eher abzulehnen sein.39

Nutzt also ein Kind einen dieser Dienste der Informationsgesellschaft im Internet und wird dabei um eine Einwilligung in die Verarbeitung von Daten für Zwecke, die nicht mit dem Vertragszweck zusammenhängen, gebeten, ist diese Einwilligung erst wirksam, wenn es das 16. Lebensjahr vollendet hat, es sei denn, eine nationale Regelung hat diese Altersgrenze nach unten abgeändert, was nach deutschem Recht nicht der Fall ist. Bei Einwilligungen durch Personen, die älter sind, muss der Diensteanbieter den Art. 8 DSGVO folglich nicht beachten, sondern nur Art. 7 i.V.m. Art. 4 Nr. 11 DSGVO. Er ist aber mit dem Problem konfrontiert, wissen zu müssen, ob die Altersgrenze überschritten ist, was mangels Altersverifikation zweifelsfrei nicht möglich sein dürfte. Es bleibt für ihn ein Risiko, dass trotz entsprechender Hinweise des Anbieters auf die Anforderungen des Art. 8 DSGVO oder trotz des Ausschlusses von Kindern unter 16 durch die Nutzungsbedingungen unwirksame Einwilligungen erteilt werden, was die Verarbeitung rechtswidrig machen würde. Welche Obliegenheiten den Verantwortlichen treffen, um seiner Nachweispflicht hinsichtlich der Einwilligung oder der Zustimmung der Eltern zur Einwilligung des Kindes nachzukommen, wird in Art. 8 Abs. 2 DSGVO geregelt (siehe Rn. 34).

2. Direkt an Kinder gerichtete Diensteangebote

Eine weitere Voraussetzung für die Anwendbarkeit der Regelung über die Altersgrenze ist, dass dieses Angebot auch „direkt“ gegenüber dem Kind – hier im Sinne einer bis zu 16 Jahren alten Person – gemacht wird. Die Auslegung dieses Tatbestandsmerkmals führt zu schwierigen, schwer zu lösenden Abgrenzungsproblemen.40 Fraglich ist, ob es sich um einen Dienst handeln muss, der als Zielgruppe (nur) Kinder anspricht, also von den Inhalten, der Sprache und der Aufmachung erkennbar ein Dienst ist, der sich nur oder wenigstens primär an die Altersgruppe der Minderjährigen wendet, auf Kinder ausgerichtet ist und darauf abzielt, gerade deren Interesse zu wecken.41 Dazu gehören auch sendefähige vernetzte Spielzeuge wie die Puppen „My friend Cayla“ oder „Barbie“42 sowie kindgerechte Lernprogramme, von der Art, Sprache und Illustration erkennbar für die Zielgruppe der Kinder geschaffene Spiele, sich an Kinder richtende Informations- und Nachrichtenportale, die in den Anwendungsbereich fallen.43 Wenn das gewollt gewesen wäre, hätte der Verordnungsgeber nicht die Formulierung gewählt „das einem Kind direkt gemacht wird“, sondern eher klar zum Ausdruck gebracht, dass der Dienst „ausschließlich“ oder „speziell“ an Kinder gerichtet sein muss.44

Wegen der unklaren Bezugnahme auf die sich direkt an Kinder wendenden Dienste dürfte es daher ausreichen und dem Schutzzweck der Norm entsprechen, wenn sich der Dienst auch an Kinder wendet oder auch von diesen genutzt wird.45 Damit werden nicht nur Dienste adressiert, die sich „gezielt“ an Kinder richten,46 sondern auch solche, die sowohl von Erwachsenen als auch von Kindern gleichermaßen genutzt werden („dual use“).47 Es ist nicht erforderlich, dass ein solcher Dienst Kinder ausdrücklich mit anspricht.48 Der Ansicht, dass „direkte“ Angebote an Kinder dann nicht vorliegen, wenn diese von der Werbung oder den Teilnahmebedingungen nicht explizit adressiert werden, sondern das Angebot unterschiedslos alle Altersgruppen anspreche, kann nicht gefolgt werden,49 weil sich dadurch der Diensteanbieter aus der ihm mit Art. 8 DSGVO zugewiesenen Anforderung mit leichter Hand stehlen könnte. Die sozialen Medien wie etwa Instagram, Snapchat und Facebook werden deshalb den von Art. 8 Abs. 1 UAbs. 1 DSGVO adressierten Diensten zuzurechnen sein. Die bestimmungswidrig von Kindern genutzten und ausdrücklich für Ältere angebotenen Dienste sollen nach den vom Europäischen Datenschutzausschuss gebilligten Leitlinien der Art.-29-Datenschutzgruppe von der Anwendung des Art. 8 ausgeschlossen sein. Danach erfordere es keine Altersverifikation, sondern es genüge, dass es der Anbieter eines Dienstes der Informationsgesellschaft „gegenüber möglichen Nutzern deutlich macht, dass er seinen Dienst Personen anbietet, die 18 Jahre oder älter sind“.50 Das dürfte mit dem Telos der Norm nicht vereinbar sein. Auch der Ausschluss von Nutzern unter 16 Jahren durch Allgemeine Geschäftsbedingungen oder die angeklickte Versicherung, man sei über 16 Jahre alt, verhindert nicht die Anwendung des Art. 8 DSGVO, wenn der Dienst bekanntermaßen und faktisch von diesen „Kindern“ genutzt werden kann und auch genutzt wird.51 Ist dem Diensteanbieter bekannt, dass auch Kinder unter 16 sein Angebot nutzen und Daten zur Verfügung stellen, hat er Art. 8 DSGVO selbst dann zu beachten, wenn er durch seine AGB die Nutzung für diejenigen ausschließt, die das 16. Lebensjahr nicht vollendet haben. Will der Diensteanbieter Kinder vor Vollendung des 16. Lebensjahres ausschließen und sich der Einwilligungsbedürftigkeit entziehen, muss er ein Altersverifikationssystem implementieren.52 Soweit nach dem Jugendmedienstaatsvertrag (JMStV) Altersverifikationssysteme erforderlich sind, zeigt die Praxis, dass entsprechende Verfahren zur Verfügung stehen, die „ohne Medienbruch und weitestgehend ohne Zeitverzug“ die Prüfung des Alters vornehmen können.53 Wird eine Altersverfikation durchgeführt, dann darf der Telemedienanbieter (Dienst der Informationsgesellschaft) gemäß § 20 TTDSG die dabei erhobenen Daten von Minderjährigen aus Gründen des Jugendschutzes nicht für kommerzielle Zwecke verarbeiten (§ 20 TTDSG Rn. 1).

Fernabsatzportale (eCommerce; Online-Shops), die Waren wie Kleidung oder Spielzeug für Kinder als Teil eines nicht speziell an Kinder gerichteten Sortiments anbieten, sind zwar Dienste der Informationsgesellschaft, wenden sich aber nicht direkt an Kinder, sondern überwiegend an Erwachsene, die Waren für Kinder erwerben, und fallen damit aus dem Anwendungsbereich des Art. 8 DSGVO heraus.54 Anders verhält es sich, wenn ein Onlineshop sich mit dem Angebot direkt an Kinder als Zielgruppe wendet.

Auffällig ist, dass einige dieser Dienste, die vor dem Wirksamwerden der DSGVO in ihren Nutzungsbedingungen als Zielgruppe, die die Dienste zu nutzen berechtigt sei, die über 13-Jährigen ausgaben, nun mit dem Wirksamwerden der DSGVO ihre ausschließlich für Nutzer innerhalb der EU zugrunde gelegten Nutzungsbedingungen dahingehend änderten, dass nun nur über 16 Jahre alte Personen die Dienste nutzen dürfen.55 Diese Anpassung wäre wohl nicht vorgenommen worden, wenn die Verantwortlichen davon ausgehen würden, dass ihre Angebote sich nicht (auch) „direkt an Kinder“ wenden würden und der Art. 8 DSGVO auf ihre Dienste nicht anzuwenden sei. Mit der Anpassung der Nutzungsbedingungen sollen offenbar Kollisionen mit Art. 8 DSGVO ausgeschlossen werden, wenn über die Dienste auch Einwilligungen eingeholt werden. Dieser Umgehungsversuch ist ebenso untauglich, wie der Hinweis, dass die Einwilligung nur von Personen über 16 Jahren eingeholt würden,56 weil die Anbieter in Kenntnis der Tatsache, dass auch Kinder unter 16 Jahren Dienste der Informationsgesellschaft trotz der in den Nutzungsbedingungen vorgesehenen Einschränkungen nutzen, den Art. 8 DSGVO zu beachten haben (siehe Rn. 17).57 Unklar ist allerdings, wie sie dieses mangels Altersverifikation gewährleisten wollen (siehe dazu Rn. 36, 38).

Es steht die Frage im Raum, ob mit diesen Änderungen der Nutzungsbedingungen alle Personen, die das 16. Lebensjahr nicht vollendet haben, vom Diensteanbieter in der Lebenswirklichkeit tatsächlich ausgeschlossen werden. Weil diesem Anbieter das Alter der Nutzer regelmäßig nicht bekannt ist und ein Altersverifikationsverfahren nicht existiert, zeigt dies die begrenzte Wirkung der Norm. Weiterhin werden Kinder unter 16 Jahren derartige Messaging-Dienste entgegen den Nutzungsbedingungen faktisch auch nutzen. Willigen sie in die Verarbeitung ihrer personenbezogenen Daten für Zwecke ein, die nicht einer Vertragserfüllung dienen, ist die Einwilligung gem. Art. 8 DSGVO unwirksam und die Verarbeitung dieser Daten rechtswidrig. Die Vorschrift dürfte damit ohne ein gleichzeitiges Altersverifikationssystem bei Dual-use-Diensten, das im Interesse der Datenminimierung lediglich feststellen dürfte, ob die Nutzer das 16. Lebensjahr vollendet haben, und nicht etwa auch das genaue Alter erheben, keinen Nutzen bringen. In der Tat wäre aber die Anforderung an Diensteanbieter, bei typischerweise auch von Kindern genutzten Diensten – wozu etwa spiegel-online, gartenfreunde.de oder seniorenreise.de nicht gehören, aber etwa kicker.de und Instagram – eine Altersverifikation vor Einholung einer Einwilligung vorzunehmen, nach verbreiteter Ansicht unverhältnismäßig, was unterstreicht, wie wenig gelungen diese Vorschrift ist.

Handelt es sich um einen Dual-use-Dienst, dann ist eine den Anforderungen des Art. 7 DSGVO genügende Einwilligung in die Verarbeitung personenbezogener Daten, die nicht für die Erbringung des Dienstes, sondern für andere Zwecke verarbeitet werden sollen, ohne Einwilligung oder Zustimmung unzureichend und damit auch ihre Verarbeitung unrechtmäßig.58

Der Telos der Norm ist – auch angesichts des ErwG 38 – nachvollziehbar. Der praktische Nutzen dürfte aber gering sein und bei den Anbietern der auch von Kindern genutzten Dienste erhebliche Rechtsunsicherheit hervorrufen, wenn sie überhaupt beabsichtigen, Daten über den Vertragszweck hinaus auf der Grundlage einer Einwilligung zu verarbeiten.

Geht es in einem Sachverhalt nicht um einen Dienst der Informationsgesellschaft, der direkt einem Kind gegenüber gemacht wird, kommt Art. 8 DSGVO folglich nicht zur Anwendung. Das hat zur Folge, dass bei Minderjährigen die Zustimmung der Eltern erforderlich ist oder – wie gehabt – die Einsichtsfähigkeit des Kindes bzw. des Jugendlichen im Einzelfall festzustellen ist.

3. Einwilligung oder Zustimmung der Träger der elterlichen Verantwortung

Hat das Kind das 16. Lebensjahr noch nicht vollendet, bedarf es bei einer Einwilligung einer Beteiligung der „Träger der elterlichen Verantwortung“, üblicherweise nach §§ 1626, 1629 BGB der Eltern. Anstatt der gemeinschaftlichen Vertretung der Eltern (§ 1629 Abs. 1 Satz 2 BGB) dürfte in diesen Fällen der erforderlichen Einwilligung, einem Geschäft des täglichen Lebens, die Einwilligung eines Elternteils genügen. Nach einer Entscheidung des OLG Düsseldorf59 ist vor einer Verbreitung von Fotos eines Kindes in digitalen sozialen Medien gem. § 22 KunstUrhG und für die Verarbeitung die Einwilligung beider sorgeberechtigter Elternteile erforderlich, weil diese Angelegenheit der elterlichen Sorge von erheblicher Bedeutung für das Kind ist (§ 1628 BGB). Kritisch an der Entscheidung ist, dass es trotz der BGH-Rechtsprechung (Art. 6 Fn. 81 und Art. 7 Fn. 63) nicht die Anwendbarkeit des KUG prüft und ablehnt. Buchner/Schnebbe60 sehen das Teilen von Kinderfotos aus datenschutzrechtlichen Gründen allerdings als unrechtmäßig an, weil kein Raum für eine Einwilligung in Ausübung elterlicher Sorge bleibt; denn durch die Veröffentlichung würde in erheblichem Maße in die informationelle Selbstbestimmung von Kindern unter 16 Jahren eingegriffen. Eine stellvertretende Einwilligung der Eltern für ihre Kinder ist nach dieser Ansicht ebenfalls nicht zulässig. Anstelle von „Träger der elterlichen Verantwortung“ wird im Folgenden vereinfachend und im Regelfall zutreffend der Begriff „Eltern“ verwendet.

Nur aus dem ErwG 38, nicht aber aus dem Normtext geht hervor, dass diese Anforderung dann nicht gelten soll, wenn sich das Angebot an Kinder richtet, um ihnen eine Beratung durch den Diensteanbieter anzubieten, etwa eine seelsorgerische oder soziale Beratung. Bei der Inanspruchnahme von Präventions- und Beratungsdiensten kann es das Wohl des Kindes erfordern, dass die Eltern keine Kenntnis von der Kontaktaufnahme bekommen und diese dementsprechend auch keine Einwilligung in die zur Erbringung der Beratungsleistung erforderliche Datenverarbeitung, soweit sie nicht schon durch Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO erlaubt ist, erteilen müssen. Es ist davon auszugehen, dass Kinder, die einen solchen Dienst in Anspruch nehmen möchten, auch die erforderliche Einsichtsfähigkeit besitzen und auch ohne eine ausdrückliche Aufnahme des in ErwG 38 enthaltenen Gedankens im Normtext von derartigen Präventions- und Beratungsdiensten mit ihrem Angebot angesprochen werden dürfen. Es sollen durch das Datenschutzrecht keine Hürden aufgebaut werden, um die Dienste beispielsweise von Schwangerschafts-, Sucht- oder Opferschutzberatungsstellen in Anspruch nehmen zu können. Dienste der Informationsgesellschaft, die Beratungsdienste im Sinne des ErwG 38 erbringen, sollen von den Beschränkungen des Art. 8 DSGVO folglich befreit sein, ohne dass der Normtext dieses ausdrücklich zum Ausdruck bringt. Im Übrigen ist schwer nachzuvollziehen, für welchen Zweck diese Beratungsdienste personenbezogene Daten verarbeiten wollen, die nicht für die Durchführung der Beratung – die nach Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO ja erlaubt ist – erforderlich sind und für die dann eine Einwilligung oder Zustimmung notwendig wäre, wenn es diese Bereichsausnahme nicht gäbe.

Der Verordnungstext benennt zwei Möglichkeiten, um durch eine Einwilligung zu einer rechtmäßigen Datenverarbeitung zu kommen. Nach der ersten Alternative können die Eltern die Einwilligung in die Verarbeitung durch eine Einwilligungserklärung im Namen des vertretenen Kindes erklären. Nach der zweiten Alternative kann das Kind selbst die Einwilligungserklärung angeben, der die Eltern zustimmen. Die Einwilligung der Eltern muss – wie es auch sonst bei der Einwilligung stets erforderlich ist – vor der Datenverarbeitung erfolgen (siehe Art. 7 Rn. 48). Auch die Zustimmung der Eltern zur schwebend wirksamen Einwilligung des Kindes kann nicht die Unwirksamkeit der Einwilligung des Kindes (Art. 8 Abs. 1 UAbs. 1 Satz 1 DSGVO) nach Erhebung von Daten nachträglich heilen, sondern muss ebenfalls erklärt werden, bevor die Verarbeitung der Daten auf der Grundlage von Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO erfolgt. Die Zustimmung61 kann als vorherige oder nachträgliche Einverständniserklärung erfolgen, bevor oder nachdem das Kind seine Einwilligung erteilt hat. Eine Zustimmung muss ebenfalls vorliegen, bevor die durch eine Einwilligung des Kindes erlaubte Datenverarbeitung erfolgt. Über die Einwilligung durch die Eltern hat der Dienstanbieter das Kind entsprechend (Art. 7 Abs. 3 Satz 3 DSGVO) zu informieren, schon um dem Gedanken der Selbstbestimmung folgend nach Vollendung des 16. Lebensjahres und damit nach Eintritt der Einwilligungsfähigkeit von seinem Widerrufsrecht Gebrauch machen zu können, was ihm bei fehlender Kenntnis einer erfolgten Einwilligung faktisch nicht in den Sinn käme.

Die Zustimmung der Eltern kann nicht pauschal für alle in der Zukunft liegenden Einwilligungen des Kindes erteilt werden. Sie muss vielmehr für jede einzelne Einwilligungserklärung erneut gegeben werden, weil die Risiken der jeweiligen Datenverarbeitung, in die eingewilligt werden soll, unterschiedlich zu beurteilen sind und daher eine Einzelfallentscheidung erfordern.

Offen ist, in welcher Form die Einwilligung der Eltern bzw. die Zustimmung der Eltern in die Einwilligung des Kindes erfolgt. Hat das Kind das 16. Lebensjahr noch nicht vollendet, muss der Diensteanbieter erkennen können, dass die Einwilligung tatsächlich seitens der Eltern erfolgte bzw. dass dann, wenn das Kind seine Einwilligung gab, die Zustimmung wirklich von den Eltern vorliegt. Eine Checkbox (Abfragemaske), die das Kind zur Bestätigung anklickt, dass seine Eltern zustimmen oder zugestimmt hätten, ist dafür gänzlich unzureichend.62 Die Umgehungsmöglichkeiten durch Beschaffung einer fingierten Erklärung über eine von Kindern bei einem Freemailer selbst beschafften, auf den Namen eines Elternteils lautenden und dann aber allein von den Kindern selbst ohne Kenntnis eines Elternteils genutzten E-Mail-Adresse sind Kindern häufig bekannt (siehe dazu noch Rn. 36f.).

Auch die Einwilligung im Sinne der vorherigen Zustimmung der Eltern muss „in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“, erfolgen (siehe Art. 7 Rn. 14, 30ff.).

Die Vorschrift behandelt nicht die Frage, ob eine Einwilligung der Eltern auch gegen den Willen des Kindes erfolgen darf, das zwar noch nicht das 16. Lebensjahr vollendet hat, aber möglicherweise bereits über die erforderliche Einsichtsfähigkeit verfügt, um negative Auswirkungen einer Einwilligung befürchten zu können und deshalb eine Einwilligung ablehnt. Immerhin beinhaltet die Erziehungsberechtigung der Eltern (Art. 6 Abs. 2 GG) auch die Pflicht, das Kindeswohl zu fördern (§ 1 Abs. 1 SGB VIII: Jeder junge Mensch hat ein Recht auf Förderung seiner Entwicklung und auf Erziehung zu einer eigenverantwortlichen und gemeinschaftsfähigen Persönlichkeit.). Daraus folgt, dass eine Einwilligung der Eltern aus der Perspektive des Diensteanbieters zwar wirksam erteilt wurde,63 aber aus der Sicht des Kindes nicht gegen dessen Willen hätte erfolgen dürfen.64 Liegt dem Diensteanbieter eine von den Eltern erteilte Einwilligung vor, wäre die Datenverarbeitung damit rechtmäßig, bis von dem Kind ein Widerruf der Einwilligung erfolgt. Weil Art. 8 DSGVO den actus contrarius zur Einwilligung nicht regelt, ist davon auszugehen, dass auch einsichtsfähige Kinder, die das 16. Lebensjahr nicht vollendet haben, und die die Einwilligung in die Datenverarbeitung nicht wünschen, eine von den Eltern erteilte Einwilligung widerrufen können.65 Daraufhin sind die Daten vom Diensteanbieter unverzüglich zu löschen bzw. Daten aus dem Vertragsverhältnis nicht mehr für einen anderen Zweck nutzbar; die sich auf die Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO stützende Datenverarbeitung wird mit dem Widerruf der Einwilligung, der sowohl von den Eltern als auch von dem Kind allein ausgesprochen werden kann, rechtswidrig.