Die Anwendung der DSGVO im praktischen Vollzug: Wann ist eine Einwilligung nach der DSGVO überhaupt wirksam und worauf müssen Unternehmen achten?
Datenschutz |
Einwilligung nach der DSGVO: Wann ist eine Einwilligung nach der DSGVO überhaupt wirksam und worauf müssen Unternehmen achten?
1. Einwilligung als Rechtsgrundlage
Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, es ist eine Erlaubnis (Rechtsgrundlage) vorhanden. Die Einwilligung ist eine der in Art. 6 Abs. 1 DSGVO vorgesehenen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten und stellt somit eine der zentralen Rechtsgrundlagen für die Datenverarbeitung dar. Sie spielt besonders dort eine wichtige Rolle, wo Unternehmen Daten für bestimmte Zwecke nutzen möchten, ohne dass dafür eine andere Rechtsgrundlage vorliegt. Dies ist zum Beispiel bei der Zusendung von Newslettern oder Marketinginformationen relevant.
Aber wann ist eine Einwilligung überhaupt wirksam und was muss bei ihrer Einholung, Dokumentation und ihrem späteren Widerruf beachtet werden?
Die Datenschutzkonferenz (DSK) hat ihr Kurzpapier Nr. 20 „Einwilligung nach der DSGVO“ mit Stand vom 23. September 2026 aktualisiert. Das Papier fasst die wesentlichen Anforderungen an eine wirksame Einwilligung zusammen und berücksichtigt dabei insbesondere die Leitlinien 05/2020 des Europäischen Datenschutzausschusses (EDSA).
Nach Art. 4 Nr. 11 DSGVO handelt es sich bei der Einwilligung um eine freiwillige Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Diese muss:
- für den bestimmten Fall,
- in informierter Weise und
- unmissverständlich
abgegeben werden.
Damit wird deutlich: Nicht jedes „Ja“, jeder Klick oder jedes gesetzte Häkchen ist automatisch eine wirksame Einwilligung nach der DSGVO. Es kommt vielmehr darauf an, unter welchen Umständen die Zustimmung erfolgt ist und ob die Person tatsächlich eine fundierte und freie Entscheidung über die Verarbeitung ihrer Daten getroffen hat. Wird die Einwilligung den Anforderungen nicht gerecht, ist sie unwirksam und darf nicht als Rechtsgrundlage für eine Verarbeitung dienen. Verstöße können aufsichtsbehördliche Maßnahmen und Schadensersatzansprüche nach sich ziehen.
2. Die einzelnen Voraussetzungen für eine Einwilligung
a. unmissverständlich abgegebene Willensbekundung
Es bedarf einer unmissverständlich abgegebenen Willensbekundung der betroffenen Person, dass sie mit der Verarbeitung ihrer Daten einverstanden ist, das heißt, sie muss durch ihr Verhalten eindeutig zu erkennen geben, dass sie mit der konkreten Verarbeitung ihrer Daten einverstanden ist.
Dies setzt eine aktive Handlung voraus, das heißt Schweigen, Untätigkeit oder ein rein passives Verhalten reichen nicht aus. So sind beispielsweise ein bereits als Voreinstellung angeklicktes Zustimmungs-Kästchen oder das Nicht-Anklicken eines Verweigerungs-Kästchens, das Nicht-Durchstreichen eines vorformulierten Einwilligungstextes oder die einfache Weiternutzung eines Dienstes nicht als Einwilligung zu werten. Ausreichend ist es auch nicht, wenn die Einwilligungserklärung innerhalb der AGB abgegeben wird, ohne dabei gesondert hervorgehoben worden zu sein.
Ein bestimmtes Formerfordernis besteht grundsätzlich hingegen nicht, die Einwilligung kann auch mündlich oder elektronisch, zum Beispiel per E-Mail oder durch Anklicken eines Kästchens erfolgen. Entscheidend ist, dass aus dem Verhalten der betroffenen Person eindeutig hervorgeht, dass sie der Verarbeitung zustimmen möchte.
In besonderen Verarbeitungssituationen kann es zudem ausnahmsweise gewisse Formerfordernisse geben. So hat die Einwilligung in einem Beschäftigungsverhältnis gem. § 26 Abs. 2 S. 3 BDSG grundsätzlich schriftlich oder elektronisch zu erfolgen, soweit nicht aufgrund besonderer Umstände eine andere Form angemessen ist.
b. Freiwilligkeit der Einwilligung
Die betroffene Person muss zudem eine echte und freie Wahl haben, ob sie der Verarbeitung ihrer Daten zustimmt oder nicht. Sie darf weder unter Druck gesetzt werden noch unangemessen zur Zustimmung gedrängt werden. Insbesondere muss es ihr möglich sein, die Einwilligung zu verweigern oder zurückzuziehen, ohne dass ihr daraus ungerechtfertigte Nachteile entstehen. Besteht ein klares Ungleichgewicht zwischen der betroffenen Person und dem Verantwortlichen, etwa im Verhältnis zwischen Beschäftigtem und Arbeitgeber oder zwischen Bürger und Behörde, ist es unwahrscheinlich, dass die Einwilligung ohne Zwang abgegeben wurde, weshalb besonders kritisch zu prüfen ist, ob die Einwilligung tatsächlich freiwillig abgegeben wurde.
Im Zusammenhang mit der Freiwilligkeit ist zudem vor allem das sog. „Kopplungsverbot“ nach Art. 7 Abs. 4 DSGVO zu beachten. Danach darf die Erfüllung eines Vertrags in der Regel nicht von einer Einwilligung in eine Datenverarbeitung abhängig gemacht werden, die für die Erfüllung des Vertrags nicht notwendig ist. Eine solche Verknüpfung spricht gegen das Freiwilligkeits-Kriterium, da die betroffene Person möglicherweise nur deshalb einwilligt, um den Vertrag schließen zu können. Entscheidend sind die Umstände des Einzelfalls, so kann eine kostenpflichtige Alternative, bei der dann keine entsprechende Einwilligung erforderlich ist, durchaus zulässig sein.
Auch im Beschäftigungsverhältnis sind strengere Anforderungen an die Freiwilligkeit zu stellen, da Beschäftigte sich oftmals einem Ungleichgewicht ausgesetzt sehen.
c. Informiertheit der Einwilligung
Eine wirksame Einwilligung setzt zudem voraus, dass die betroffene Person vorab ausreichend informiert wurde. Sie muss wissen:
- in welche Verarbeitung,
- welcher Art von Daten sie einwilligt und
- welche Folgen mit der Einwilligung verbunden sind. Die Informationen müssen dabei in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden.
Insbesondere muss deutlich werden, wer für die Verarbeitung ihrer Daten verantwortlich ist und zu welchen Zwecken ihre personenbezogenen Daten verarbeitet werden sollen. Je nach Art und Umfang der Verarbeitung können weitere Informationen notwendig sein, damit die betroffene Person die Tragweite ihrer Entscheidung vollumfänglich versteht. Die Informationen müssen sich also am Einzelfall orientieren und der betroffenen Person alle diesbezüglich relevanten Informationen liefern. Zusätzlich muss sie vor Erteilung der Einwilligung über ihr Recht, diese jederzeit widerrufen zu können, informiert werden.
d. Bestimmtheit der Einwilligung
Zusätzlich muss sich die Einwilligung auf einen bestimmten Fall beziehen. Für die betroffene Person muss klar erkennbar sein, für welchen bestimmten, vorher festgelegten Zweck und welche Verarbeitung ihrer personenbezogenen Daten sie ihre Einwilligung erteilt. Dient eine Verarbeitung mehreren Zwecken, so müssen diese einzeln aufgeführt und die Einwilligung für sämtliche Zwecke eingeholt werden. Pauschale oder zu weit gefasste Einwilligungen in nicht näher definierte Verarbeitungen genügen dem Bestimmtheitsgebot nicht.
3. Einwilligung richtig einholen und dokumentieren
Neben den inhaltlichen Anforderungen an eine wirksame Einwilligung kommt es auch darauf an, wie diese eingeholt und dokumentiert wird, um als rechtmäßige Grundlage für die Datenverarbeitung dienen zu können.
Einwilligungen Minderjähriger
Die Einwilligung ist eine höchstpersönliche Erklärung. Wer eine Einwilligung einholt, muss daher sicherstellen, dass auch tatsächlich die betroffene Person die Einwilligung erteilt hat und dass diese auch einwilligungsfähig war. Bei der Frage, ob eine Person einwilligungsfähig ist, kommt es darauf an, ob sie die Bedeutung und Tragweite der Einwilligung sowie die Folgen der damit verbundenen Datenverarbeitung verstehen und entsprechend eine eigene Entscheidung treffen kann. Eine feste Altersgrenze für die Einwilligungsfähigkeit gibt es dabei grundsätzlich nicht. Maßgeblich ist vielmehr die individuelle Einsichtsfähigkeit der betroffenen Person. Gerade bei Minderjährigen ist daher nicht allein auf das Alter abzustellen, sondern auf deren Einsichtsfähigkeit hinsichtlich der Tragweite der Einwilligung. Die in Art. 8 DSGVO enthaltene Altersgrenze von 16 Jahren bezieht sich auf an Minderjährige gerichtete Dienste der Informationsgesellschaft.
Nachweispflichten bei Einwilligungen
Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Es muss daher nachvollziehbar dokumentiert werden, dass die jeweilige betroffene Person die Einwilligung auch tatsächlich erteilt hat. Hierfür muss die Einwilligungserklärung jeder einzelnen betroffenen Person vollständig dokumentiert werden. Bei einer ausdrücklich erteilten Einwilligung muss insbesondere der Wortlaut der Erklärung nachvollziehbar sein und der Zeitpunkt dokumentiert sein. Wird die Einwilligung elektronisch erteilt, muss die entsprechende Erklärung gespeichert und so aufbewahrt werden, dass sie bei Bedarf (z.B. gegenüber der Aufsichtsbehörde oder bei Ansprüchen betroffener Personen) vorgelegt werden kann. Der Verantwortliche hat durch geeignete technische und organisatorische Maßnahmen dafür Sorge zu tragen, dass die Datenschutzgrundsätze, insbesondere die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, umgesetzt werden.
4. Widerruf und unwirksame Einwilligung
Eine erteilte Einwilligung kann jederzeit ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen werden. Über dieses Recht muss die betroffene Person vor Abgabe der Einwilligung durch den Verantwortlichen informiert werden. Der Widerruf muss mindestens so einfach wie die Erteilung der Einwilligung gestaltet sein. Wurde die Einwilligung beispielsweise durch einen einfachen Klick erteilt, darf der Widerruf nicht unnötig erschwert werden und muss ebenso einfach möglich sein.
Der Widerruf wirkt für die Zukunft. Die Verarbeitung personenbezogener Daten, die bis zum Zeitpunkt des Widerrufs auf Grundlage einer Einwilligung stattfand, bleibt rechtmäßig. Nach dem Widerruf darf die Verarbeitung allerdings nicht mehr auf die Einwilligung gestützt werden.
Eine unwirksame Einwilligung kann ebenso wenig wie eine widerrufene Einwilligung ohne Weiteres durch eine andere Rechtsgrundlage ersetzt werden. Ein Wechsel der Rechtsgrundlage ist zwar nicht vollkommen ausgeschlossen, darf aber nicht dazu dienen, die Anforderungen an eine wirksame Einwilligung zu umgehen. Ein plötzlicher Wechsel zwischen Verarbeitungstatbeständen kann insbesondere dann problematisch sein, wenn die betroffene Person nicht damit rechnen musste, dass ihre Daten aufgrund einer anderen Rechtsgrundlage weiterverarbeitet werden. Denn stützt der Verantwortliche die Verarbeitung ausschließlich auf die Einwilligung, so macht er der betroffenen Person deutlich, dass diese auch für die weitere Verarbeitung entscheidend ist.
5. Handlungsempfehlung für Unternehmen: Newsletter-Einwilligung
Ein häufiger Fall, in denen eine Einwilligung erforderlich wird, ist das Versenden von Newslettern. Auch hier muss die Einwilligung den zuvor dargestellten Anforderungen entsprechen. Sie muss insbesondere eindeutig und freiwillig in informierter Weise für den Newsletter erteilt werden. Außerdem darf die Newsletter-Einwilligung nicht unzulässig an den Abschluss eines Vertrags oder die Inanspruchnahme einer Leistung gekoppelt werden.
a. Einwilligung einholen und Anmeldung bestätigen
Etabliert hat sich das Double-Opt-In-Verfahren. Nach Angabe der E-Mail-Adresse erhält der Newsletter-Interessent zunächst eine Bestätigungs-E-Mail mit einem Link. Über diesen muss die Anmeldung zum Newsletter noch einmal aktiv bestätigt werden. Das Verfahren hilft zum einen, missbräuchliche Anmeldungen zu verhindern und sicherzustellen, dass die angegebene E-Mail-Adresse auch tatsächlich von der Person stammt, die den Newsletter erhalten möchte, zum anderen aber auch bei der Erbringung eines Nachweises des Einwilligungsprozesses. Es muss sichergestellt sein, dass die Bestätigungs-Mail ausschließlich zur Bestätigung des Anmeldevorgangs dient und keine zusätzlichen Werbeinhalte enthält.
Das Anmeldeformular und die dazugehörige Einwilligung müssen transparent gestaltet sein. Die betroffene Person muss erkennen können, wer den Newsletter versendet, welche Daten zu welchem Zweck wie verarbeitet werden und über ihr Widerrufsrecht informiert werden. Ein entsprechender Hinweis kann beispielsweise mit einer Verlinkung auf die Datenschutzerklärung verbunden werden. Bei einem gewöhnlichen Newsletter darf die E-Mail-Adresse regelmäßig das einzige Pflichtfeld sein.
b. Widerruf und Werbewiderspruch berücksichtigen
Die betroffene Person kann ihre Einwilligung jederzeit widerrufen. Der Widerruf muss ebenso einfach möglich sein wie die Erteilung der Einwilligung, weshalb es sich empfiehlt, die Abmeldung über einen gut auffindbaren Abmeldelink im Newsletter zu ermöglichen, über den die Abmeldung mit einem einfachen Klick erfolgt. Zugleich müssen interne Abläufe festgelegt werden, um auch Widerrufe, die z.B. per E-Mail oder den Kundenservice eingehen, berücksichtigen zu können.
Vorsicht Werbewidersprüche: Erklärt eine betroffene Person ausdrücklich, dass sie keine (Direkt-) Werbung mehr erhalten möchte, muss der Newsletter-Versand ebenfalls eingestellt werden, auch wenn keine direkte Newsletter-Abmeldung stattfand.
c. Dokumentation der Einwilligung
Um der Nachweispflicht aus Art. 7 Abs. 1 gerecht zu werden, müssen nicht nur die E-Mail-Adresse und der Zeitpunkt der Anmeldung gespeichert werden, sondern auch die konkrete Einwilligungserklärung und der gesamte Ablauf der Bestätigung. Nicht ausreichend ist, eine IP-Adresse und einen Anmeldezeitpunkt zu speichern und für die weiteren Voraussetzungen auf ein Verfahren oder eine entsprechende Ausgestaltung des double-opt-in-Verfahrens hinzuweisen. Wenn die Einwilligungserklärung lediglich im Setzen eines Hakens besteht, so muss auch der dazugehörige Einwilligungstext dokumentiert werden, sowie die in diesem Zusammenhang gesendeten E-Mails.
Schwierigkeiten wird hier auch das Verfahrens nach § 7 Abs. 3 UWG bereiten. Es ist dringend anzuraten, auch diesbezüglich Dokumentationen entsprechend denen der Einwilligung anzufertigen.
Nach einer Abmeldung sind nicht mehr benötigte Daten grundsätzlich zu löschen, sofern keine andere Rechtsgrundlage für ihre weitere Speicherung besteht. Der Nachweis der Einwilligung kann aber weiterhin erforderlich sein, um belegen zu können, dass die Newsletter-Versendung bis zum Zeitpunkt des Widerrufs rechtmäßig war. Als Orientierung für die weitere Aufbewahrungsdauer kann die allgemeine zivilrechtliche Verjährungsfrist gem. §§ 195, 199 BGB von drei Jahren zum Jahresende dienen. Sie begründet allerdings keine pauschale datenschutzrechtliche Speicherfrist, vielmehr muss im Einzelfall geprüft werden, welche Nachweise weiterhin benötigt werden und wie lange ihre Aufbewahrung notwendig ist.
Somit ist dringend zu empfehlen, Dokumentationen zu erteilten Einwilligungen bei einem Widerruf oder Werbewiderspruch nicht sofort zu löschen, sondern diese in der Verarbeitung einzuschränken („Sperren“) und zu Nachweiszwecken vorzuhalten.
Auch Widerrufe bzw. Abmeldungen und Werbewidersprüche müssen dokumentiert werden. Dabei müssen Sie die Speicherung der Daten auf das erforderliche Maß beschränken, etwa E-Mail-Adresse und Sperrstatus, um dem datenschutzrechtlichen Grundsatz der Datenminimierung gerecht zu werden.
Kontakt zu Michaela Berger
Sie haben Fragen zum Blogartikel oder möchten durch Michaela Berger anwaltlich beraten werden?
Schreiben Sie ihr eine E-Mail oder nutzen Sie ganz einfach nebenstehendes Kontaktformular.
FAQ: Einwilligung nach der DSGVO
Eine Einwilligung ist nur wirksam, wenn sie freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird (Art. 4 Nr. 11 DSGVO). Fehlt eine dieser Voraussetzungen, ist sie unwirksam und darf nicht als Rechtsgrundlage für die Datenverarbeitung dienen. Verstöße können aufsichtsbehördliche Maßnahmen und Schadensersatzansprüche nach sich ziehen.
Nein. Die Einwilligung setzt eine aktive Handlung voraus. Vorangekreuzte Kästchen, Schweigen, bloße Untätigkeit oder die schlichte Weiternutzung eines Dienstes genügen nicht. Auch eine Einwilligung, die ohne besondere Hervorhebung in den AGB „versteckt“ ist, ist nicht wirksam.
Grundsätzlich nicht. Sie kann auch mündlich, per E-Mail oder durch Anklicken eines Kästchens erfolgen. Entscheidend ist, dass der Wille zur Zustimmung eindeutig erkennbar ist. Ausnahmen gelten etwa im Beschäftigungsverhältnis, wo die Einwilligung in der Regel schriftlich oder elektronisch erfolgen soll. Unabhängig von der Form müssen Sie die Einwilligung jedoch nachweisen können.
Eine Einwilligung gilt als freiwillig erteilt, wenn sie tatsächlich frei entscheiden kann, ob sie der Verarbeitung ihrer personenbezogenen Daten zustimmt. Sie muss die Möglichkeit haben, die Einwilligung zu verweigern oder später zu widerrufen, ohne dadurch ungerechtfertigte Nachteile zu erleiden. Besonders kritisch ist die Freiwilligkeit zu beurteilen, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht, beispielsweise in einem Beschäftigungsverhältnis. Auch das so genannte Kopplungsverbot nach Art. 7 Abs. 4 stellt eine wichtige Anforderung an die Freiwilligkeit: Die Erfüllung einer Leistung darf grundsätzlich nicht von einer Einwilligung in eine Datenverarbeitung abhängig gemacht werden, die für die Erfüllung nicht erforderlich ist.
Bereits vor der Erteilung einer Einwilligung müssen Betroffene umfänglich über die betreffende Datenverarbeitung informiert werden, damit sie eine fundierte Entscheidung treffen können. Dazu gehört insbesondere, wer der Verantwortliche für die Verarbeitung ist, welche personenbezogenen Daten zu welchen Zwecken verarbeitet werden und welche Folgen die Verarbeitung haben kann. Je nach Einzelfall können weitere Informationen erforderlich sein, etwa zu den Empfängern der Daten. Die betroffene Person ist auch stets über ihr Recht zu informieren, die Einwilligung jederzeit widerrufen zu können. Die Informationen müssen dabei verständlich, leicht zugänglich und in klarer, einfacher Sprache ohne irreführende Klauseln formuliert sein.
Grundsätzlich können mehrere Verarbeitungszwecke Gegenstand eines Einwilligungsvorgangs sein. Voraussetzung ist jedoch, dass die einzelnen Zwecke konkret benannt und für die betroffene Person klar voneinander unterscheidbar sind. Sie muss erkennen können, in welche Verarbeitungen sie einwilligt und eine echte Wahl haben. Soweit die Zwecke voneinander unabhängig sind, muss sie grundsätzlich auch getrennt über diese entscheiden können. Eine pauschale Einwilligung, die unterschiedliche oder unbestimmte Verarbeitungszwecke zusammenfasst, genügt den Anforderungen der DSGVO nicht.
Eine ausdrückliche Einwilligung liegt vor, wenn die betroffene Person ihre Zustimmung zur Verarbeitung ihrer Daten ausdrücklich erklärt. Dies kann beispielsweise durch eine schriftliche Erklärung, eine mündliche Zustimmung oder eine entsprechend formulierte elektronische Erklärung erfolgen. Entscheidend ist, dass die Zustimmung eindeutig zum Ausdruck kommt und sich auf die konkrete Datenverarbeitung bezieht.
Von einer konkludenten Einwilligung spricht man hingegen, wenn sich die Zustimmung aus dem eindeutigen Verhalten der Person ergibt, ohne dass sie ausdrücklich erklärt wird. Voraussetzung ist, dass dieses Verhalten zweifelsfrei erkennen lässt, dass die betroffene Person mit der Verarbeitung ihrer Daten einverstanden ist. Schweigen, Untätigkeit oder sonstiges passives Verhalten reichen hierfür nicht aus. Die Unterscheidung ist besonders deshalb relevant, da die DSGVO in bestimmten Fällen eine ausdrückliche Einwilligung verlangt, etwa bei der Verarbeitung besonderer Kategorien von Daten nach Art. 9 Abs. 2 lit. a DSGVO. In diesen Fällen reicht eine konkludente Einwilligung nicht aus. Auch bei der Dokumentation sind unterschiedliche Anforderungen an ausdrückliche und konkludente Einwilligungen zu beachten.
Nein, die DSGVO schreibt grundsätzlich keine bestimmte Form vor. Eine Einwilligung kann u.a. schriftlich, elektronisch, z.B. per E-Mail oder Anklicken einer Checkbox, oder auch mündlich erfolgen. Unternehmen müssen die Erteilung der wirksamen Einwilligung allerdings nachweisen können. Lediglich in besonderen Verarbeitungssituationen kann es ausnahmsweise erforderlich sein, die Einwilligung schriftlich oder elektronisch einzuholen, beispielsweise in einem Beschäftigungsverhältnis gem. § 26 Abs. 2 S. 3 BDSG.
Sie müssen nachweisen können, dass die konkrete Person tatsächlich eingewilligt hat (Art. 7 Abs. 1 DSGVO). Dazu gehören insbesondere der Wortlaut der Einwilligungserklärung und der Zeitpunkt. Elektronische Einwilligungen sind so zu speichern, dass sie etwa gegenüber der Aufsichtsbehörde jederzeit vorgelegt werden können. Gibt es eine feste Altersgrenze für die Einwilligungsfähigkeit? Eine allgemeingültige Altersgrenze für Einwilligungen gibt es grundsätzlich nicht. Entscheidend ist, ob die betroffene Person die Bedeutung und Tragweite ihrer Einwilligung sowie deren Folgen versteht und auf dieser Grundlage eine Entscheidung treffen kann. Bei Minderjährigen ist daher die individuelle Einsichtsfähigkeit zu berücksichtigen. Davon zu unterscheiden ist Art. 8 DSGVO. Diese Vorschrift regelt besondere Voraussetzungen, inklusive einer Altersgrenze, für die Einwilligung von Minderjährigen bei direkt an sie gerichteten Diensten von Informationsgesellschaften, beispielsweise bei Online-Spielen für Kinder. Sie legt aber keine allgemein geltende Altersgrenze für Einwilligungen fest.
Eine unwirksame Einwilligung darf nicht als Rechtsgrundlage für die Verarbeitung personenbezogener Daten dienen. Ein einfacher Wechsel auf eine andere Rechtsgrundlage ist äußerst kritisch zu betrachten und verstößt in den meisten Fällen gegen das Transparenzgebot. Eine Verarbeitung ohne wirksame Einwilligung kann aufsichtsbehördliche Maßnahmen oder Schadensersatzansprüche nach sich ziehen.
Der Widerruf einer Einwilligung wirkt ab dem Zeitpunkt, zu dem er beim Verantwortlichen eingeht. Ab diesem Punkt darf die weitere Verarbeitung der Daten nicht mehr auf die Einwilligung gestützt werden. Die bis dahin auf Grundlage der Einwilligung erfolgte Verarbeitung bleibt aber rechtmäßig.
Betroffene Personen können ihre Einwilligung jederzeit widerrufen. Eine Angabe von Gründen darf dabei nicht verpflichtend sein. Die Möglichkeit des Widerrufs muss mindestens so einfach gestaltet sein wie die Erteilung der Einwilligung, Unternehmen sollten deshalb darauf achten, dass der Widerruf nicht unnötig erschwert wird. Sollte eine betroffene Person ihre Einwilligung widerrufen, ist die auf sie gestützte Verarbeitung umgehend einzustellen und personenbezogene Daten sind, mit Ausnahme von Aufbewahrungspflichten, zu löschen.
Ja, grundsätzlich ist auch ein nur teilweiser Widerruf möglich, sofern sich die Einwilligung auf mehrere Verarbeitungszwecke bezieht. Betroffene Personen können ihre Einwilligung beispielsweise für bestimmte Marketingzwecke widerrufen, während sie für andere Zwecke weiter bestehen bleibt. Entscheidend ist, dass die einzelnen Verarbeitungszwecke hinreichend klar voneinander abgegrenzt sind.
Nein, eine betroffene Person kann nicht auf ihr Widerrufsrecht bei einer Einwilligung nach der DSGVO verzichten. Weder ein vertraglicher Ausschluss noch eine im Voraus von der betroffenen Person abgegebene Erklärung auf Verzicht sind wirksam. Nach Art. 7 Abs. 3 DSGVO hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen.
Der Widerruf einer Einwilligung bedeutet, dass die betroffene Person ihre zuvor erteilte Zustimmung zur Verarbeitung ihrer personenbezogenen Daten zurücknimmt. Ein Werbewiderspruch richtet sich dagegen gegen die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung. Nach Art. 21 Abs. 2, 3 DSGVO kann eine betroffene Person der Verarbeitung ihrer Daten für Direktwerbung jederzeit widersprechen. Die Daten dürfen anschließend nicht mehr zu diesen Zwecken verarbeitet werden. Für Unternehmen bedeutet das: Ein Werbewiderspruch kann auch bei zuvor erteilter Einwilligung in beispielsweise den Empfang eines Newsletters relevant werden. Obwohl kein Widerruf der Einwilligung erfolgte, muss der Newsletter-Versand in diesem Fall eingestellt werden.
Bewährt hat sich das Double-Opt-In-Verfahren: Nach Eingabe der E-Mail-Adresse bestätigt die Person ihre Anmeldung über einen Link in einer Bestätigungs-E-Mail, die keine Werbung enthalten darf. Das Anmeldeformular muss transparent über Absender, Zweck und Widerrufsrecht informieren. Regelmäßig sollte die E-Mail-Adresse das einzige Pflichtfeld sein.
Sie muss so einfach sein wie die Anmeldung, idealerweise über einen gut sichtbaren Abmeldelink mit einem Klick. Auch Abmeldungen per E-Mail oder über den Kundenservice müssen intern berücksichtigt werden. Widerspricht jemand ausdrücklich der Direktwerbung, ist der Versand ebenfalls einzustellen, selbst ohne formale Abmeldung.
Neben E-Mail-Adresse und Anmeldezeitpunkt gehören der Einwilligungstext, der gesamte Bestätigungsablauf und die versendeten Bestätigungs-E-Mails dazu. IP-Adresse und Zeitstempel allein reichen nicht aus.
Nicht mehr benötigte Daten sind grundsätzlich zu löschen. Den Nachweis der Einwilligung sollten Sie jedoch gesperrt aufbewahren, um die Rechtmäßigkeit des bisherigen Versands belegen zu können. Als Orientierung kann die dreijährige Verjährungsfrist nach §§ 195, 199 BGB dienen, eine pauschale Speicherfrist ist das aber nicht. Auch Abmeldungen und Werbewidersprüche sind zu dokumentieren, beschränkt auf das Nötige (z. B. E-Mail-Adresse und Sperrstatus).
Sie möchten keinen Beitrag mehr verpassen?
Melden Sie sich jetzt bei unserem Newsletter an und Sie erhalten in unregelmäßigen Abständen aktuelle Neuigkeiten direkt in Ihr E-Mail-Postfach.