Die Einwilligung ist eine der bekanntesten Rechtsgrundlagen der DSGVO – und zugleich eine der fehleranfälligsten. Denn ein angeklicktes Kästchen oder eine unterschriebene Erklärung macht eine Datenverarbeitung nicht automatisch rechtmäßig. Entscheidend ist, ob die betroffene Person tatsächlich eine freie, informierte und eindeutige Entscheidung treffen konnte.

Inhaltsverzeichnis

  1. Wann ist eine Einwilligung freiwillig?
  2. Das Kopplungsverbot: Darf eine Leistung von der Einwilligung abhängen?
  3. Bestimmtheit und Informiertheit
  4. Eindeutige bestätigende Handlung
  5. Muss eine Einwilligung ausdrücklich oder schriftlich erfolgen?
  6. Wer muss die Einwilligung nachweisen?
  7. Wie lange gilt eine Einwilligung?
  8. Widerruf: Was passiert mit den Daten?
  9. Einwilligungen von Kindern
  10. Einwilligung oder andere Rechtsgrundlage?
  11. Typische Fehler in der Praxis
  12. Fazit
  13. Rechtsquellen und weiterführende Informationen

1. Was ist eine Einwilligung im Sinne der DSGVO?

Art. 6 Abs. 1 lit. a DSGVO erlaubt eine Verarbeitung personenbezogener Daten, wenn die betroffene Person in die Verarbeitung für einen oder mehrere bestimmte Zwecke eingewilligt hat.

Was unter einer Einwilligung zu verstehen ist, bestimmt Art. 4 Nr. 11 DSGVO:
„jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“

Die Vorschrift verlangt außerdem, dass die betroffene Person durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung ihr Einverständnis mit der Verarbeitung zum Ausdruck bringt.

Damit enthält die Definition vier zentrale Anforderungen: Freiwilligkeit, Bestimmtheit, Informiertheit und eine unmissverständliche Willensbekundung. Weitere Voraussetzungen ergeben sich insbesondere aus Art. 7 DSGVO.

Eine Einwilligung ist deshalb mehr als eine Formalität. Sie soll der betroffenen Person eine tatsächliche Entscheidung darüber ermöglichen, ob ihre Daten für einen bestimmten Zweck verarbeitet werden dürfen.

Beispiel: Ein Unternehmen möchte die E-Mail-Adressen seiner Kunden für einen freiwilligen Newsletter verwenden. Es erläutert, welche Informationen die Abonnenten erhalten werden, und bietet eine nicht vorangekreuzte Auswahlmöglichkeit an.

Entscheidet sich der Kunde aktiv für den Newsletter, kann darin eine wirksame Einwilligung liegen. Ob die anschließende Werbung zulässig ist, richtet sich zusätzlich nach den einschlägigen werberechtlichen Vorschriften.

2. Wann ist eine Einwilligung freiwillig?

Die Freiwilligkeit ist eine der wichtigsten und zugleich schwierigsten Voraussetzungen. Eine Einwilligung ist nur dann freiwillig, wenn die betroffene Person eine echte Wahl hat. Sie muss die Verarbeitung ablehnen können, ohne unangemessene Nachteile befürchten zu müssen.

Erwägungsgrund 42 DSGVO formuliert dazu:

„Eine Einwilligung sollte nicht als freiwillig erteilt gelten, wenn die betroffene Person keine echte oder freie Wahl hat [...]“

Der Europäische Datenschutzausschuss (EDSA) betont in seinen Leitlinien 05/2020, dass eine freie Entscheidung insbesondere durch Machtungleichgewichte, unzulässigen Druck, nachteilige Folgen einer Ablehnung und fehlende Wahlmöglichkeiten beeinträchtigt werden kann.

Freiwilligkeit im Beschäftigungsverhältnis

Besondere Schwierigkeiten bestehen bei Einwilligungen von Beschäftigten. Aufgrund des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer ist sorgfältig zu prüfen, ob tatsächlich eine freie Entscheidung möglich ist.

Das bedeutet nicht, dass Einwilligungen im Beschäftigungsverhältnis ausnahmslos unwirksam wären. Allerdings müssen die konkreten Umstände eine freiwillige Entscheidung ermöglichen. Für Beschäftigtendaten sind außerdem die einschlägigen spezialgesetzlichen Vorschriften zu berücksichtigen.

Beispiel: Ein Arbeitgeber möchte Fotos seiner Beschäftigten auf der Unternehmenswebsite veröffentlichen.

Eine Einwilligung kann hierfür in Betracht kommen. Sie muss aber so gestaltet sein, dass Beschäftigte die Veröffentlichung ohne negative Konsequenzen ablehnen können.

Wird dagegen vermittelt, dass eine Ablehnung die beruflichen Entwicklungsmöglichkeiten beeinträchtigt, bestehen erhebliche Zweifel an der Freiwilligkeit.

Freiwilligkeit gegenüber Behörden

Auch im Verhältnis zwischen Bürgern und Behörden kann ein strukturelles Ungleichgewicht bestehen. Deshalb ist eine Einwilligung regelmäßig keine geeignete Grundlage für Verarbeitungen, die eine Behörde zur Erfüllung ihrer gesetzlichen Aufgaben durchführen muss.

3. Das Kopplungsverbot: Darf eine Leistung von der Einwilligung abhängen?

Art. 7 Abs. 4 DSGVO verlangt, bei der Beurteilung der Freiwilligkeit besonders zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung in eine Verarbeitung abhängig gemacht wird, die für die Vertragserfüllung nicht erforderlich ist.

Das wird häufig als Kopplungsverbot bezeichnet.

Allerdings enthält Art. 7 Abs. 4 DSGVO kein ausnahmsloses Verbot jeder Verbindung zwischen einer Leistung und einer Einwilligung. Entscheidend sind die konkreten Umstände und die Frage, ob die betroffene Person eine echte Wahl hat.

Beispiel: Bestellung und Newsletter

Ein Kunde möchte in einem Online-Shop eine Ware bestellen. Für die Bestellung benötigt der Händler bestimmte personenbezogene Daten, etwa die Lieferanschrift. Der Händler möchte zusätzlich die E-Mail-Adresse für Werbenachrichten verwenden. Würde er den Abschluss des Kaufvertrags davon abhängig machen, dass der Kunde auch in die Werbung einwilligt, wäre die Freiwilligkeit dieser Einwilligung erheblich zweifelhaft. Die Bestellung muss grundsätzlich unabhängig von einer für die Vertragsabwicklung nicht erforderlichen Werbeeinwilligung möglich sein.

Sonderfall: „Consent or Pay“

Besonders umstritten sind Geschäftsmodelle, bei denen Nutzer entweder in eine Datenverarbeitung einwilligen oder für eine Alternative bezahlen müssen. Der EDSA hat sich hierzu in seiner Stellungnahme 08/2024 mit Modellen großer Online-Plattformen befasst.

Nach seiner Auffassung wird es bei solchen Plattformen in den meisten Fällen nicht möglich sein, eine wirksame Einwilligung einzuholen, wenn Nutzern lediglich die Wahl zwischen verhaltensbezogener Werbung und einer kostenpflichtigen Alternative angeboten wird.

Der EDSA berücksichtigt dabei insbesondere wirtschaftlichen Druck, die Marktstellung der Plattform und die tatsächlichen Ausweichmöglichkeiten. Diese Stellungnahme betrifft ausdrücklich große Online-Plattformen und darf nicht ohne weitere Prüfung auf sämtliche kostenpflichtigen Alternativmodelle übertragen werden.

Für die Praxis bedeutet das: Eine Einwilligung wird nicht allein dadurch freiwillig, dass formal eine Ablehnungsmöglichkeit existiert. Entscheidend ist, ob die betroffene Person diese Möglichkeit tatsächlich frei nutzen kann.

4. Bestimmtheit und Informiertheit

Eine Einwilligung muss sich auf einen oder mehrere bestimmte Zwecke beziehen.

Pauschale Formulierungen wie „Ich bin mit der Verarbeitung meiner Daten einverstanden“ reichen regelmäßig nicht aus, wenn nicht deutlich wird, welche Verarbeitung zu welchem Zweck erlaubt werden soll.

Bestimmte Zwecke

Die betroffene Person muss erkennen können, wofür ihre Daten verwendet werden. Werden Daten für mehrere voneinander unabhängige Zwecke verarbeitet, muss grundsätzlich eine gesonderte Entscheidung über diese Zwecke möglich sein.

Beispiel: Ein Unternehmen möchte Kundendaten sowohl für einen Newsletter als auch für die Veröffentlichung von Kundenbewertungen verwenden. Beide Verarbeitungen verfolgen unterschiedliche Zwecke. Eine gemeinsame, nicht weiter differenzierte Einwilligung wäre problematisch, wenn der Kunde nicht über beide Zwecke unabhängig entscheiden kann.

Informierte Entscheidung

Die betroffene Person muss vor ihrer Entscheidung ausreichend informiert werden.
Nach den EDSA-Leitlinien 05/2020 gehören zu den erforderlichen Mindestinformationen insbesondere:
  • die Identität des Verantwortlichen;
  • die Zwecke der beabsichtigten Verarbeitung;
  • die Arten der verarbeiteten Daten;
  • der Hinweis auf das Widerrufsrecht;
  • gegebenenfalls Informationen über automatisierte Entscheidungen nach Art. 22 Abs. 2 lit. c DSGVO;
  • gegebenenfalls Informationen über Risiken einer Drittlandübermittlung ohne Angemessenheitsbeschluss und geeignete Garantien, soweit eine ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO eingeholt werden soll.
Diese Mindestinformationen ersetzen nicht die weiteren Informationspflichten aus Art. 13 und 14 DSGVO.
Wichtig ist außerdem die Verständlichkeit. Art. 7 Abs. 2 DSGVO verlangt bei schriftlichen Erklärungen, die auch andere Sachverhalte betreffen, eine verständliche, leicht zugängliche Form sowie eine klare und einfache Sprache.
Eine Einwilligung darf deshalb nicht in umfangreichen Vertragsbedingungen versteckt werden.

5. Eindeutige bestätigende Handlung

Eine Einwilligung setzt eine aktive Willensbekundung voraus. Erwägungsgrund 32 DSGVO nennt ausdrücklich die Möglichkeit, eine Einwilligung durch das Anklicken eines Kästchens beim Besuch einer Internetseite zu erklären.

Gleichzeitig stellt er klar:

„Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen.“

Vorangekreuzte Kästchen

Ein bereits aktiviertes Auswahlfeld ist deshalb grundsätzlich ungeeignet, um eine wirksame Einwilligung einzuholen.
Der Nutzer muss selbst tätig werden.  Der EuGH hat dies insbesondere in seinem Urteil vom 1. Oktober 2019, C-673/17 – Planet49, für die Einwilligung in das Setzen von Cookies hervorgehoben.

Auch das Urteil vom 11. November 2020, C-61/19 – Orange România, unterstreicht, dass eine Einwilligung auf einer aktiven und informierten Entscheidung beruhen muss.

Bloße Weiternutzung einer Website

Auch Hinweise wie „Durch die weitere Nutzung dieser Website stimmen Sie der Datenverarbeitung zu“ genügen regelmäßig nicht den Anforderungen an eine wirksame Einwilligung.

Die bloße Fortsetzung der Nutzung ist keine hinreichend eindeutige bestätigende Handlung.

Wichtig: Bei Cookies und vergleichbaren Technologien ist zusätzlich § 25 TDDDG zu beachten. Die Einwilligung nach der DSGVO und die Anforderungen an das Speichern von Informationen beziehungsweise den Zugriff auf Informationen in Endeinrichtungen sind rechtlich zu unterscheiden.

6. Muss eine Einwilligung ausdrücklich oder schriftlich erfolgen?

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO muss grundsätzlich weder schriftlich noch ausdrücklich im Sinne einer besonderen Erklärung erfolgen. Erforderlich ist eine unmissverständliche bestätigende Handlung.

Je nach Situation kann das beispielsweise durch das aktive Anklicken eines Auswahlfeldes oder durch eine andere eindeutig zustimmende Handlung geschehen.

Entscheidend ist, dass die Handlung unter den konkreten Umständen tatsächlich als Einverständnis mit der bezeichneten Verarbeitung verstanden werden kann.

Ausdrückliche Einwilligung

Von der allgemeinen Einwilligung ist die ausdrückliche Einwilligung zu unterscheiden. Sie wird von der DSGVO für bestimmte besondere Konstellationen verlangt, etwa in Art. 9 Abs. 2 lit. a DSGVO oder Art. 49 Abs. 1 lit. a DSGVO.
An eine ausdrückliche Einwilligung werden höhere Anforderungen an die Deutlichkeit der Erklärung gestellt. Die Einzelheiten des Art. 9 DSGVO werden in einer gesonderten Beitragsserie behandelt.

Schriftform als Nachweis

Auch wenn keine gesetzliche Schriftform vorgeschrieben ist, kann eine dokumentierte Erklärung aus Beweisgründen sinnvoll sein. Das gilt besonders bei Verarbeitungen, bei denen später Streit über Inhalt, Zeitpunkt oder Freiwilligkeit der Einwilligung entstehen könnte.

7. Wer muss die Einwilligung nachweisen?

Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung eingewilligt hat. Diese Nachweispflicht wird durch die allgemeine Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ergänzt.

Es genügt daher nicht, ein technisch funktionierendes Einwilligungsformular bereitzustellen. Der Verantwortliche muss im Streitfall darlegen können, dass eine wirksame Einwilligung vorlag. Was sollte dokumentiert werden?

Je nach Verfahren können insbesondere folgende Informationen relevant sein:

  • Zeitpunkt und Art der Einwilligung;
  • Inhalt der abgegebenen Erklärung;
  • Fassung der zum Zeitpunkt der Einwilligung bereitgestellten Informationen;
  • Zuordnung der Erklärung zur betroffenen Person;
  • gegebenenfalls ein späterer Widerruf.
Die Dokumentation muss ihrerseits datenschutzkonform erfolgen. Es dürfen nicht unbegrenzt zusätzliche personenbezogene Daten gespeichert werden, nur um die Einwilligung nachweisen zu können.

Ist Double-Opt-in vorgeschrieben?

Das Double-Opt-in-Verfahren wird insbesondere bei E-Mail-Newslettern verwendet. Dabei bestätigt die betroffene Person ihre Anmeldung zusätzlich über einen Link in einer Bestätigungsnachricht. Die DSGVO schreibt Double-Opt-in nicht generell als zwingendes Verfahren vor. Es kann aber ein geeignetes Mittel sein, um eine Einwilligung und die Zuordnung zu einer E-Mail-Adresse nachzuweisen.

Ob das konkrete Verfahren einen ausreichenden Nachweis ermöglicht, hängt von seiner technischen und organisatorischen Ausgestaltung ab.

8. Wie lange gilt eine Einwilligung?

Die DSGVO enthält keine allgemeine Regel, nach der eine Einwilligung automatisch nach einer bestimmten Anzahl von Monaten oder Jahren abläuft. Eine einmal wirksam erteilte Einwilligung kann daher grundsätzlich fortgelten.

Allerdings ist sie stets an die Zwecke und Umstände gebunden, für die sie erteilt wurde. Ändern sich diese wesentlich, kann eine neue Einwilligung erforderlich werden.

Auch kann eine sehr lange zurückliegende Einwilligung unter Umständen Zweifel daran aufwerfen, ob die betroffene Person noch hinreichend über die tatsächliche Verarbeitung informiert ist. Der EDSA empfiehlt deshalb, Einwilligungen in angemessenen Abständen zu überprüfen und gegebenenfalls zu erneuern. 

Eine pauschale gesetzliche Pflicht, sämtliche Einwilligungen jährlich neu einzuholen, besteht jedoch nicht.

9. Widerruf: Was passiert mit den Daten?

Art. 7 Abs. 3 DSGVO bestimmt, dass die betroffene Person ihre Einwilligung jederzeit widerrufen kann. Der Widerruf muss so einfach möglich sein wie die Erteilung der Einwilligung.

Wirkung für die Zukunft

Ein Widerruf führt nicht dazu, dass die bis dahin auf Grundlage einer wirksamen Einwilligung erfolgte Verarbeitung rückwirkend rechtswidrig wird. Er wirkt grundsätzlich für die Zukunft. Ab dem Widerruf darf die betreffende Verarbeitung nicht mehr auf die widerrufene Einwilligung gestützt werden.

Müssen die Daten gelöscht werden?

Häufig führt der Widerruf dazu, dass die betreffenden Daten nicht weiter für den ursprünglichen Zweck verarbeitet werden dürfen und nach Art. 17 Abs. 1 lit. b DSGVO zu löschen sind.

Das gilt allerdings nicht ausnahmslos.

Besteht für bestimmte Daten eine eigenständige rechtliche Grundlage zur weiteren Speicherung, beispielsweise eine gesetzliche Aufbewahrungspflicht, kann diese Verarbeitung weiterhin zulässig sein. Dabei muss zwischen den verschiedenen Zwecken unterschieden werden.

Beispiel: Ein Kunde widerruft seine Einwilligung in den Newsletter. Das Unternehmen muss die werbliche Verarbeitung auf dieser Grundlage beenden. Es kann aber weiterhin verpflichtet sein, bestimmte Rechnungsdaten aus früheren Bestellungen aufzubewahren.

Die Aufbewahrung beruht dann nicht auf der widerrufenen Werbeeinwilligung, sondern auf einer eigenständigen Rechtsgrundlage.

Darf nach dem Widerruf auf eine andere Rechtsgrundlage gewechselt werden?

Ein nachträglicher Wechsel der Rechtsgrundlage ist nicht beliebig möglich.

Besonders problematisch wäre es, eine Verarbeitung zunächst ausdrücklich als freiwillig und widerruflich darzustellen und nach einem Widerruf unverändert fortzusetzen, indem nun erstmals ein berechtigtes Interesse behauptet wird.

Der EDSA lehnt ein solches Vorgehen in seinen Leitlinien 05/2020 grundsätzlich ab. Das schließt nicht aus, dass für andere, eigenständig zu beurteilende Verarbeitungszwecke eine weitere Rechtsgrundlage besteht. Entscheidend sind die tatsächlichen Voraussetzungen und die zuvor erteilten Informationen.

10. Einwilligungen von Kindern

Bei Kindern sind zusätzliche Anforderungen zu beachten. Art. 8 DSGVO enthält besondere Regelungen für die Einwilligung bei einem direkt gegenüber einem Kind angebotenen Dienst der Informationsgesellschaft, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO gestützt wird.

Nach Art. 8 Abs. 1 DSGVO liegt die Altersgrenze grundsätzlich bei 16 Jahren. Die Mitgliedstaaten können eine niedrigere Grenze festlegen, die jedoch nicht unter 13 Jahren liegen darf. Deutschland hat die Altersgrenze für diesen Anwendungsbereich nicht allgemein auf 13 oder 14 Jahre abgesenkt. Ist das Kind jünger als 16 Jahre, muss die Einwilligung nach Maßgabe von Art. 8 DSGVO durch den Träger der elterlichen Verantwortung oder mit dessen Zustimmung erteilt werden.

Art. 8 DSGVO gilt allerdings nicht für jede Verarbeitung personenbezogener Daten von Kindern. Insbesondere darf die Altersgrenze nicht pauschal auf sämtliche Einwilligungen Minderjähriger übertragen werden. Außerhalb seines besonderen Anwendungsbereichs sind die jeweiligen gesetzlichen Anforderungen und die Fähigkeit des Kindes zu einer informierten Entscheidung gesondert zu beurteilen.

11. Einwilligung oder andere Rechtsgrundlage?

Die Einwilligung steht nicht an der Spitze einer Rangfolge der Rechtsgrundlagen. Art. 6 Abs. 1 DSGVO enthält mehrere eigenständige Erlaubnistatbestände. Bei der Auswahl kommt es darauf an, warum eine Verarbeitung durchgeführt wird.

Vertragserfüllung statt Einwilligung

Wenn ein Unternehmen personenbezogene Daten benötigt, um einen Vertrag mit der betroffenen Person zu erfüllen, kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein. Eine zusätzliche Einwilligung ist dann nicht erforderlich.

Rechtliche Verpflichtung statt Einwilligung

Besteht eine gesetzliche Pflicht zur Verarbeitung, kann Art. 6 Abs. 1 lit. c DSGVO maßgeblich sein. Eine Einwilligung wäre in diesem Fall häufig irreführend, weil die betroffene Person die gesetzlich vorgeschriebene Verarbeitung nicht durch einen Widerruf verhindern kann.

Berechtigte Interessen statt Einwilligung

Auch Art. 6 Abs. 1 lit. f DSGVO kann unter seinen Voraussetzungen eine Verarbeitung erlauben.

Der Verantwortliche darf sich aber nicht allein deshalb auf berechtigte Interessen stützen, weil er die Anforderungen einer Einwilligung vermeiden möchte. Insbesondere müssen ein berechtigtes Interesse, die Erforderlichkeit und eine Interessenabwägung vorliegen.

Die richtige Frage lautet deshalb nicht: „Wie bekomme ich eine Einwilligung?“, sondern: „Welche Rechtsgrundlage trägt die konkrete Verarbeitung?“

12. Typische Fehler in der Praxis

Fehler 1: Die Einwilligung ist in den AGB versteckt

Eine allgemeine Zustimmung zu Vertragsbedingungen ist nicht automatisch eine wirksame datenschutzrechtliche Einwilligung. Die Einwilligung muss klar erkennbar und von anderen Erklärungen unterscheidbar sein.

Fehler 2: Ein Auswahlkästchen ist bereits aktiviert

Eine vorangekreuzte Checkbox erfüllt die Anforderung einer aktiven bestätigenden Handlung nicht.

Fehler 3: Mehrere Zwecke werden zusammengefasst

Sollen personenbezogene Daten für verschiedene unabhängige Zwecke verarbeitet werden, muss eine hinreichend differenzierte Entscheidung möglich sein.

Fehler 4: Die Ablehnung hat Nachteile

Eine Einwilligung kann unwirksam sein, wenn die betroffene Person durch ihre Ablehnung unangemessene Nachteile erleidet oder faktisch keine echte Wahl hat.

Fehler 5: Der Widerruf ist komplizierter als die Einwilligung

Wer eine Einwilligung mit wenigen Klicks einholen kann, darf den Widerruf nicht durch unnötige Hürden erschweren.

Fehler 6: Es fehlt ein Nachweis

Der Verantwortliche muss nachweisen können, dass die betroffene Person wirksam eingewilligt hat.

Fehler 7: Nach dem Widerruf wird einfach weiterverarbeitet

Eine widerrufene Einwilligung kann die weitere Verarbeitung nicht mehr rechtfertigen. Ein Wechsel auf eine andere Rechtsgrundlage ist nicht beliebig zulässig.

13. Fazit

Die Einwilligung ist eine wichtige, aber anspruchsvolle Rechtsgrundlage. Sie setzt voraus, dass die betroffene Person tatsächlich frei entscheiden kann, ausreichend informiert ist und ihr Einverständnis durch eine eindeutige Handlung erklärt.

Verantwortliche müssen außerdem sicherstellen, dass die Einwilligung nachweisbar ist und jederzeit wirksam widerrufen werden kann. Gerade deshalb sollte die Einwilligung nicht reflexartig für jede Datenverarbeitung eingesetzt werden.

Eine gute Einwilligung ist nicht diejenige, die möglichst viele Menschen anklicken. Sie ist diejenige, die eine tatsächliche und informierte Entscheidung ermöglicht.

14. Rechtsquellen und weiterführende Informationen

Rechtsvorschriften

Leitlinien und Stellungnahmen

Rechtsprechung

Weitere Beiträge der Serie