Einwilligung nach DSGVO wirksam einholen: 6 Voraussetzungen

„Wir holen einfach eine Einwilligung ein“: Diese Lösung liegt nahe, wenn Unternehmen unsicher sind, ob eine Datenverarbeitung zulässig ist. Die Einwilligung ist aber nur eine von sechs Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO, und sie ist an strenge Voraussetzungen geknüpft. Eine unwirksame Einwilligung ist rechtlich wertlos, und eine widerrufliche Einwilligung kann ein schlechteres Fundament sein als eine andere Rechtsgrundlage.

Brauchen Sie überhaupt eine Einwilligung?

Vor der Einwilligung steht die Frage nach anderen Rechtsgrundlagen. Für die Abwicklung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung gesetzlicher Pflichten (lit. c) oder auf Grundlage berechtigter Interessen (lit. f) ist keine Einwilligung erforderlich. Wer für eine Vertragsabwicklung trotzdem eine Einwilligung einholt, gerät in Erklärungsnot, wenn der Kunde sie widerruft. Typische Fälle, in denen eine Einwilligung nötig ist: Werbung per E-Mail ohne Bestandskundenausnahme, nicht notwendige Cookies, Veröffentlichung von Fotos, Talentpools, Verarbeitung von Gesundheitsdaten außerhalb gesetzlicher Erlaubnisse.

Die sechs Voraussetzungen

1. Freiwilligkeit: Die Person muss eine echte Wahl haben. Problematisch ist es, wenn eine Leistung von einer nicht erforderlichen Einwilligung abhängig gemacht wird (Koppelungsverbot, Art. 7 Abs. 4 DSGVO) oder ein Machtungleichgewicht besteht, etwa im Arbeitsverhältnis.
2. Bestimmtheit: Die Einwilligung muss sich auf einen oder mehrere konkrete Zwecke beziehen. Pauschale Einwilligungen „in die Nutzung zu Marketingzwecken durch Partnerunternehmen“ sind regelmäßig unwirksam, wie schon ältere Rechtsprechung zu Einwilligungen für eine Vielzahl von Unternehmen zeigt.
3. Informiertheit: Die Person muss wissen, wer die Daten wofür verarbeitet und dass sie die Einwilligung widerrufen kann.
4. Eine unmissverständliche Handlung, also aktives Ankreuzen, Klicken oder eine Erklärung. Schweigen oder vorangekreuzte Kästchen genügen nicht, wie der BGH im Urteil „Cookie-Einwilligung II“ bestätigt hat.
5. Trennung von anderen Erklärungen: Wird die Einwilligung zusammen mit anderen Erklärungen abgegeben, etwa in AGB, muss sie klar davon abgehoben sein (Art. 7 Abs. 2 DSGVO).
6. Widerrufbarkeit: Der Widerruf muss so einfach sein wie die Erteilung. Darauf ist vor Abgabe hinzuweisen (Art. 7 Abs. 3 DSGVO).

Besondere Fälle

Für Gesundheitsdaten und andere sensible Daten muss die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO „ausdrücklich“ erfolgen. Bei Online-Diensten, die sich direkt an Kinder richten, ist bis zum vollendeten 16. Lebensjahr die Zustimmung der Eltern erforderlich (Art. 8 DSGVO). Für Beschäftigte enthält § 26 Abs. 2 BDSG eigene Vorgaben zur Freiwilligkeit und verlangt grundsätzlich Schrift- oder elektronische Form; Beispiele dazu in unserem Beitrag zu Mitarbeiterfotos auf der Website.

Nachweis und Verwaltung

Der Verantwortliche muss nachweisen können, dass eine Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO). Dokumentieren Sie deshalb Zeitpunkt, Inhalt der Erklärung und Art der Abgabe. Widerrufe müssen zuverlässig und schnell umgesetzt werden, und zwar in allen Systemen, in denen die Daten verwendet werden.

Prüfen Sie zuerst, ob eine andere Rechtsgrundlage greift; die Einwilligung ist kein Allheilmittel. Gern sehen wir uns Ihre Einwilligungstexte an oder klären mit Ihnen, welche Rechtsgrundlage für Ihre Verarbeitung trägt. Kontaktformular oder Online-Termin.