同意书在 GDPR 下何时生效？

有效同意的各项要求概览

同意是数据保护方面的核心法律依据。然而，对于企业和负责任的机构而言，往往不清楚何时可以实际基于同意来处理数据，以及在这一过程中需要满足哪些具体的法律要求。

鉴于在未达成或无效的同意情况下可能存在的重大法律和经济风险，从一开始就确保同意具有法律保障至关重要。

同意作为数据处理的潜在法律依据

GDPR 第 6 条第 1 款 (a) 项规定了同意原则，该原则是处理个人数据六种可能的法律依据之一。该原则体现了知情权：原则上，每个人都应该能够决定谁可以使用其数据，以及出于何种目的使用这些数据。

但在实践中，只有在不存在 GDPR 第 6 条规定的其他法律依据的情况下，同意方才算得上是正确的选择。如果个人数据用于履行合同（b 项），以履行法定义务（c 项），或基于合法权益（f 项）进行处理，则无需也不宜征求同意。

通常来说，同意是用于自愿处理的数据的合法依据，而此类处理无需满足合同规定的要求。

典型应用示例包括：

有效同意的法律要求

GDPR第4条第11款规定了同意的定义： „任何在特定情况下，以知情、明确的方式自愿表达的意愿[..]“。 由此可知，有四个核心条件必须同时满足。

1. 自愿性

同意必须首先基于相关人员的真实而自由的决定。因此，相关人员必须能够拒绝或撤回同意，而无需遭受任何损失。尤其是，同意不应该以压力或胁迫为条件。

在此方面，禁止关联行为的规定具有特殊意义，根据 GDPR 第 7 条第 4 款，基本不得将提供服务作为一项条件，而这项条件对于合同的履行并非不可或缺。

同样，误导性陈述、夸大言辞、信息过多的设计以及旨在引导用户自动同意的视觉设计（即所谓的“黑暗模式”）也可能降低用户的自愿性。

2. 了解情况

有效的同意仍然要求相关人员事先被全面、清晰地告知所计划的数据处理内容。

这些信息必须易于获取、透明且以清晰的语言阐述，尤其必须明确说明谁正在处理这些数据，以及这些数据用于何种具体目的。根据欧盟数据保护委员会的最新指导方针，相关人员还应获得关于所处理数据种类、撤销权以及可能采用的自动化决策的详细信息。提供第三国传输服务。

补充信息可以通过一份明确且清晰的隐私信息声明进行提供。

3. 确定性

此外，同意必须与明确规定的处理目的相关。零敲碎打的或过于笼统的同意是不允许的。

如果追求多个目的，则原则上每个目的都需要单独的同意。

只有在目的在如此紧密的实质关系下，才允许进行集中处理；否则，单独进行查询是不合理的。

4. 明确的确认行为

毕竟，需要通过相关人员的积极行动（即所谓的“选择加入”）来明确表达意愿。

GDPR 基本上允许有自由形式的同意。因此，同意可以以书面形式或电子形式表示，例如通过点击复选框或按钮、选择技术设置、或其他形式的声明或积极行为（例如口头形式）。

沉默、已填写好的复选框（所谓的“选择退出”功能）或仅仅保持不行动，例如继续使用某项服务，都不构成同意。同样，如果同意书包含在一般使用条款中，但未单独加以强调，也不足以构成同意。

根据 GDPR 第 7 条第 1 款，责任人必须能够证明存在有效的同意。因此，所选择的形式必须能够提供可靠的记录。

特殊情况和特殊要求

在某些情况下，对同意的规定会更加严格。

1. 处理敏感数据

在处理 GDPR 第 9 条意义上的特殊类别数据时，原则上需要获得„明确的“同意（请参阅下文）。

2. 自动化决策

如果自动决策（DSGVO 第 22 条）是以同意为基础的，则还需要„明确的“同意。

3. 员工

根据 BDSG 第 26 条第 2 款，在原则上，如果不存在特殊情况需要采用其他形式的同意，则同意应当以书面形式进行。

由于存在着既有依赖关系，因此通常会对就业关系中的同意进行严谨的审查。在此情况下，只有在特殊情况下才能获得有效同意，尤其是当员工因数据处理而获得法律或经济利益时，或者当双方都追求着同等利益时。

第四个孩子

由于儿童对数据处理的风险和后果的认识往往较低，所以他们在数据保护方面享有特殊保护。

关于与信息社会服务相关的数据处理，DSGVO 第 8 条规定了特殊同意条件。根据该规定，只有在儿童达到规定的最低年龄或父母双方同意的情况下，同意才具有效力。在德国，这一年龄限制为 16 岁。

对于其他数据处理，DSGVO并未规定具体的年龄限制。然而，根据理由说明，信息必须以儿童能理解的语言提供。

5. 研究

在科学研究领域，在某些条件下，如果数据收集时尚未确定具体处理目的，则同意可以进一步延伸。然而，处理的范围必须保持可识别。

„明确“同意的要求

„明确的“同意要求相关人员做出特别清晰、明确的说明。沉默或暗示的行为不足以达到这个目的。此外，同意必须以特别明确的措辞提出，尤其是在具体处理目的和相关数据的敏感性方面。

撤销同意

撤销权是同意权的必要补充。根据 GDPR 第 7 条第 3 款，相关人员可以随时撤销其同意，无需说明理由，且该撤销将自该日起生效。

在同意之前，必须明确告知这一权利。同时，撤回同意的程序也必须与同意的过程一样简单。因此，该过程不应过分繁琐，并且原则上应该能够以相同的方式进行（例如通过点击、电子邮件或用户账户中的相应功能）。

在撤销之前进行的处理仍属于合法行为；但自撤销之日起，不得再根据同意进行数据处理。

同意的有效期

GDPR 未规定有效期。因此，同意原则上仍然有效，只要不被撤销、处理目的仍然存在，且情况并未发生重大变化。

然而，如果同意不被使用很长一段时间，且相关人员不再需要依赖其使用，那么同意的有效性可能会丧失。在判例法中，约1.5至2年的无联系时间被视为关键时期，参见柏林高等法院（2004年7月2日判决 – 15 O 653/03）；汉堡高等法院（2004年2月17日判决 – 312 O 645/02）；慕尼黑高等法院（2010年4月8日判决 – 17 HK O 138/10）。

因此，在使用前应始终检查同意是否仍然有效。此外，还应在措辞中明确指出，同意原则上仅在撤销之前有效，以确保其持续有效。

总结

同意书是一项具有法律约束力的文书，具有明确的法律要求。其效力主要取决于其是否得到清晰的法律规范、透明的制定和严格的实施。在实践中，它应该被有目的地使用，而不应被视为一种标准解决方案。