Einwilligung im Datenschutz

Definition: Die Einwilligung ist nach Art. 6 Abs. 1 lit. a in Verbindung mit Art. 7 DSGVO eine der sechs möglichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Sie bezeichnet die freiwillig für einen bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung einer betroffenen Person, mit der sie ihr Einverständnis zur Verarbeitung der sie betreffenden personenbezogenen Daten erklärt. Die Einwilligung kann in Form einer Erklärung oder einer sonstigen eindeutig bestätigenden Handlung erteilt werden. Schweigen, vorangekreuzte Kästchen oder Untätigkeit stellen nach Erwägungsgrund 32 DSGVO keine wirksame Einwilligung dar. Die vier Kernvoraussetzungen für eine gültige Einwilligung lauten: Freiwilligkeit, Bestimmtheit (bezogen auf einen konkreten Zweck), informierte Einwilligung (der Betroffene muss wissen, worin er einwilligt) und eindeutige bestätigende Handlung. Sind diese Voraussetzungen nicht alle erfüllt, ist die Einwilligung unwirksam und die darauf gestützte Verarbeitung rechtswidrig.

Erläuterung

Die Freiwilligkeit ist das zentrale und zugleich schwierigste Merkmal der Einwilligung. Eine Einwilligung gilt nicht als freiwillig erteilt, wenn die betroffene Person keine echte oder freie Wahl hat oder eine Einwilligung nicht verweigern oder zurücknehmen kann, ohne Nachteile zu erleiden. Das sogenannte Koppelungsverbot (Art. 7 Abs. 4 DSGVO) untersagt es, die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung von der Einwilligung in die Verarbeitung personenbezogener Daten abhängig zu machen, die für die Vertragserfüllung nicht erforderlich ist. So darf beispielsweise die Nutzung eines Webshops nicht davon abhängig gemacht werden, dass der Nutzer der Verarbeitung seiner Daten für Werbezwecke zustimmt.

Das Bestimmtheitsgebot verlangt, dass die Einwilligung für einen konkreten, eindeutigen Zweck eingeholt wird. Eine pauschale Einwilligung in "alle Marketingmaßnahmen" oder "die Nutzung für verschiedene Zwecke" ist zu unspezifisch. Jeder Verarbeitungszweck muss separat abgefragt werden; ein einziges Häkchen für mehrere unterschiedliche Zwecke (z. B. E-Mail-Newsletter und telefonische Werbung) reicht nicht aus.

Die informierte Einwilligung setzt voraus, dass die betroffene Person vor der Einwilligung zumindest über die Identität des Verantwortlichen, den Zweck der Verarbeitung, die Art der verarbeiteten Daten sowie das Recht auf jederzeitigen Widerruf informiert wird. Diese Informationen müssen in verständlicher, klarer und einfacher Sprache präsentiert werden.

Das Widerrufsrecht ist eine weitere zentrale Komponente: Die betroffene Person muss ihre Einwilligung jederzeit ohne Nachteile und ebenso einfach widerrufen können, wie sie erteilt wurde. Ist die Einwilligung durch einen einfachen Klick erteilt worden, muss der Widerruf ebenfalls durch einen einfachen Klick möglich sein. Der Widerruf wirkt nur für die Zukunft; Verarbeitungen, die auf der Einwilligung vor dem Widerruf stattfanden, bleiben rechtmäßig.

Besonders strenge Anforderungen gelten bei der Einwilligung Minderjähriger: Für Kinder unter 16 Jahren (in Deutschland gilt diese Altersgrenze gemäß Art. 8 DSGVO i. V. m. § 25 Abs. 1 BDSG ebenfalls) sind bei Diensten der Informationsgesellschaft, die sich direkt an Kinder richten, die Eltern oder Sorgeberechtigten zustimmungspflichtig. Der Verantwortliche muss in diesem Fall angemessene Maßnahmen treffen, um das Alter zu prüfen und die elterliche Zustimmung zu verifizieren.

Anforderungen an die Einwilligung im Detail

• Freiwilligkeit: Echte Wahlmöglichkeit ohne Nachteile bei Verweigerung; kein Koppelungsverbot an Leistungen, die nicht von der Einwilligung abhängen dürfen.
• Bestimmtheit: Für jeden einzelnen Verarbeitungszweck ist eine separate Einwilligung einzuholen; Blankoeinwilligungen sind unzulässig.
• Informiertheit: Der Nutzer muss vor der Einwilligungserteilung zumindest über Verantwortlichen, Zweck, Datenart und Widerrufsrecht informiert worden sein.
• Eindeutige bestätigende Handlung: Aktives Ankreuzen, Klicken auf eine Schaltfläche oder vergleichbare aktive Handlung ist erforderlich; vorausgefüllte Kästchen sind unzulässig.
• Nachweispflicht (Art. 7 Abs. 1 DSGVO): Der Verantwortliche muss jederzeit nachweisen können, dass die betroffene Person eingewilligt hat – typischerweise durch Speicherung von Zeitstempel, IP-Adresse, verwendetem Formulartext und Einwilligungsversion.
• Widerrufsmöglichkeit: Der Widerruf muss jederzeit und ebenso einfach wie die Einwilligung selbst möglich sein; nach Widerruf ist die Verarbeitung unverzüglich einzustellen.
• Besondere Datenkategorien (Art. 9 DSGVO): Für die Verarbeitung sensibler Daten (Gesundheit, politische Überzeugungen, Religion etc.) muss die Einwilligung ausdrücklich erteilt werden.

Einwilligung im Online-Marketing

• E-Mail-Marketing: Vor dem Versand kommerzieller E-Mails ist in aller Regel eine ausdrückliche Einwilligung erforderlich (§ 7 Abs. 2 Nr. 2 UWG). Das Double-Opt-in-Verfahren ist der empfohlene Standard zum Nachweis der Einwilligung.
• Cookie-Einwilligung: Für nicht technisch notwendige Cookies (Analyse, Marketing, Personalisierung) ist nach TTDSG und DSGVO eine informierte Vorab-Einwilligung über einen Cookie-Banner erforderlich.
• Remarketing und Custom Audiences: Das Hochladen von E-Mail-Listen an Werbeplattformen (z. B. Meta, Google) zur Erstellung von Custom Audiences erfordert in der Regel eine Einwilligung der hochgeladenen Personen.
• Consent Management Platforms (CMP): CMPs unterstützen die technische Umsetzung der Einwilligungseinholung, dokumentieren Einwilligungen und ermöglichen den Widerruf. Eine DSGVO-konforme Implementierung erfordert eine sorgfältige Konfiguration.