Die Einwilligung ist eine der sechs Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO. Sie ist nur wirksam, wenn sie freiwillig, für einen bestimmten Fall, informiert und unmissverständlich erteilt wurde (Art. 4 Nr. 11 DSGVO). Sie müssen sie nachweisen können, und die Person kann sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 DSGVO). In der Praxis ist sie vor allem bei Newslettern, Cookies, Fotos und sensiblen Daten wichtig.
Die vier Voraussetzungen einer wirksamen Einwilligung
- Freiwilligkeit: Die Person hat eine echte Wahl und kann ohne Nachteile ablehnen. Bei einem klaren Ungleichgewicht, etwa gegenüber Behörden oder im Arbeitsverhältnis, ist das oft zweifelhaft (EG 43 DSGVO). Hinzu kommt das Koppelungsverbot: Die Erfüllung eines Vertrags darf nicht von einer Einwilligung in eine Verarbeitung abhängen, die für den Vertrag nicht erforderlich ist (Art. 7 Abs. 4 DSGVO).
- Bestimmtheit: Die Einwilligung bezieht sich auf einen oder mehrere konkrete Zwecke. Pauschale Einwilligungen "für Marketingzwecke aller Art" sind unwirksam. Verschiedene Zwecke brauchen getrennte Wahlmöglichkeiten.
- Informiertheit: Die Person weiß mindestens, wer verantwortlich ist, welche Daten zu welchen Zwecken verarbeitet werden und dass sie jederzeit widerrufen kann (EG 42 DSGVO). Bei Übermittlungen in Drittländer ohne angemessenes Schutzniveau muss sie auch die Risiken kennen.
- Unmissverständlichkeit: Es braucht eine eindeutige bestätigende Handlung, etwa ein aktiv gesetztes Häkchen. Schweigen, vorangekreuzte Kästchen oder Untätigkeit sind keine Einwilligung (EG 32 DSGVO, EuGH C-673/17, Planet49).
Form und Nachweis
Die DSGVO schreibt keine Form vor. Eine Einwilligung kann schriftlich, elektronisch oder mündlich erteilt werden. Weil Sie sie nachweisen müssen (Art. 7 Abs. 1 DSGVO), sollten Sie Zeitpunkt, Inhalt der Erklärung und den Vorgang protokollieren. Bei Newslettern hat sich das Double-Opt-in-Verfahren bewährt.
Wird die Einwilligung schriftlich zusammen mit anderen Erklärungen erteilt, etwa in einem Vertrag, muss sie klar davon abgehoben sein (Art. 7 Abs. 2 DSGVO).
Im Arbeitsverhältnis gilt § 26 Abs. 2 BDSG: Die Einwilligung muss schriftlich oder elektronisch erfolgen, soweit nicht besondere Umstände eine andere Form rechtfertigen. Freiwilligkeit liegt insbesondere vor, wenn Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erlangen oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen.
Widerruf
Die Person kann ihre Einwilligung jederzeit widerrufen. Darauf müssen Sie vor der Erteilung hinweisen. Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Wer per Klick eingewilligt hat, muss auch per Klick widerrufen können. Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig. Danach müssen Sie die Verarbeitung für diesen Zweck beenden und prüfen, ob Sie die Daten löschen müssen.
Sonderfälle
- Cookies und ähnliche Techniken: Für den Zugriff auf Endgeräte verlangt § 25 TDDDG eine Einwilligung nach den Maßstäben der DSGVO, unabhängig davon, ob personenbezogene Daten betroffen sind.
- Kinder: Bei Diensten der Informationsgesellschaft, die sich direkt an Kinder richten, können Kinder in Deutschland ab 16 Jahren selbst einwilligen. Darunter braucht es die Einwilligung oder Zustimmung der Eltern (Art. 8 DSGVO).
- Sensible Daten: Für besondere Kategorien nach Art. 9 DSGVO muss die Einwilligung ausdrücklich erteilt werden (Art. 9 Abs. 2 lit. a DSGVO).
- Werbung per E-Mail oder Telefon: Neben der DSGVO verlangt § 7 UWG eine vorherige ausdrückliche Einwilligung, mit einer engen Ausnahme für Bestandskunden bei E-Mail-Werbung (§ 7 Abs. 3 UWG).
Wann ist die Einwilligung die falsche Wahl?
Brauchen Sie die Daten ohnehin für einen Vertrag oder aufgrund einer gesetzlichen Pflicht, stützen Sie sich auf diese Grundlage. Eine zusätzlich eingeholte Einwilligung weckt die falsche Erwartung, die Person könne die Verarbeitung per Widerruf beenden. Ein späterer Wechsel auf eine andere Rechtsgrundlage halten die Aufsichtsbehörden grundsätzlich für unzulässig.
Folgen einer unwirksamen Einwilligung
Ist die Einwilligung unwirksam, fehlt die Rechtsgrundlage und die Verarbeitung ist rechtswidrig. Es drohen Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. a DSGVO) sowie Ansprüche der Betroffenen.
Checkliste
- Zweck konkret benennen, getrennte Häkchen für getrennte Zwecke.
- Keine vorausgewählten Kästchen.
- Hinweis auf das Widerrufsrecht direkt bei der Einwilligung.
- Einfachen Widerrufsweg anbieten.
- Einwilligungen mit Zeitpunkt und Textfassung protokollieren.
- Koppelung an Verträge vermeiden.
Wie Sie reagieren, wenn eine Einwilligung widerrufen wird, erklärt der Artikel zum Unterschied zwischen Widerruf und Widerspruch. Ob Ihre Einwilligungstexte und Nachweise tragen, zeigt ein Datenschutz-Audit.