Einwilligung nach DSGVO (Art. 7): Voraussetzungen und Fallstricke
Zuletzt aktualisiert: · Team von dsgvo-quiz.de
Wann ist eine Einwilligung nach DSGVO wirklich wirksam? Wir zeigen dir alle Bedingungen aus Art. 7 DSGVO — vom Koppelungsverbot über die Nachweispflicht bis hin zum Widerruf. Wer die Einwilligung als Rechtsgrundlage nach Art. 6 DSGVO wählt, muss hohe Hürden nehmen.
Wann ist eine Einwilligung nach DSGVO wirksam?
Eine Einwilligung ist nach der Definition in Art. 4 Nr. 11 DSGVO nur dann wirksam, wenn sie als „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“ erfolgt. Schweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person stellen keine Einwilligung dar. Es braucht immer eine eindeutige bestätigende Handlung.
Die Kernbedingungen (Art. 7 DSGVO): Wer die Verarbeitung auf eine Einwilligung stützt, muss die Nachweispflicht (Abs. 1), das Trennungsgebot (Abs. 2), das einfache Widerrufsrecht (Abs. 3) und das Koppelungsverbot (Abs. 4) beachten.
1. Die Nachweispflicht (Art. 7 Abs. 1)
Nach Art. 7 Abs. 1 DSGVO gilt: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Die Beweislast liegt also vollständig beim Verantwortlichen. In der Praxis erfordert dies ein belastbares Protokollierungssystem. Ein bestimmtes Verfahren schreibt die DSGVO dabei nicht vor — ein Double-Opt-in nennt sie nicht. Für E-Mail-Werbung verlangt jedoch § 7 Abs. 2 Nr. 2 UWG eine vorherige ausdrückliche Einwilligung, und die deutschen Aufsichtsbehörden halten wegen der Nachweisanforderungen der BGH-Rechtsprechung das Double-Opt-in-Verfahren für den tragfähigen Weg: Eine bloß gespeicherte IP-Adresse mit der Behauptung, von dort sei eingewilligt worden, genügt als Nachweis nicht. Die Speicherung von Zeitstempel und IP-Adresse aus Anmeldung und Bestätigung stützt sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO.
2. Das Trennungsgebot (Art. 7 Abs. 2)
Wird die Einwilligung durch eine schriftliche Erklärung eingeholt, die noch andere Sachverhalte betrifft (z. B. allgemeine Geschäftsbedingungen), schreibt Art. 7 Abs. 2 DSGVO vor: Das Ersuchen muss „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen. Außerdem muss es von den anderen Sachverhalten „klar zu unterscheiden“ sein. Eine gut versteckte Einwilligungsklausel am Ende seitenlanger AGB ist demnach unwirksam.
3. Das Widerrufsrecht (Art. 7 Abs. 3)
Art. 7 Abs. 3 DSGVO regelt den Widerruf der Einwilligung. Die betroffene Person hat das Recht, ihre Einwilligung „jederzeit zu widerrufen“. Der Widerruf muss „so einfach wie die Erteilung“ sein. Wer sich per einfachem Klick für einen Newsletter anmeldet, muss sich auch per einfachem Klick (z. B. über einen Unsubscribe-Link) wieder abmelden können.
4. Das Koppelungsverbot (Art. 7 Abs. 4)
Einer der häufigsten Fehlerquellen in der Praxis ist die mangelnde Freiwilligkeit. Nach Art. 7 Abs. 4 DSGVO muss bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, berücksichtigt werden, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, „die für die Erfüllung des Vertrags nicht erforderlich sind.“
| Situation (Beispiel) | Koppelung? | Bewertung der Freiwilligkeit |
|---|---|---|
| Kauf eines Pullovers in einem Onlineshop; Abschluss nur möglich, wenn Newsletter abonniert wird. | Ja (Vertrag an unnötige Einwilligung gekoppelt) | Einwilligung in der Regel unwirksam, da nicht freiwillig. Der Newsletter ist für den Kauf nicht erforderlich. |
| Kostenloses E-Book im Tausch gegen Newsletter-Anmeldung ("Bezahlen mit Daten"). | Nein / Ausnahmen möglich | Umstritten. Zulässig kann es sein, wenn die Datenüberlassung die vereinbarte Gegenleistung ist; die Freiwilligkeit bleibt nach Art. 7 Abs. 4 DSGVO im Einzelfall zu prüfen. Für große Online-Plattformen hat der Europäische Datenschutzausschuss in seiner Stellungnahme 08/2024 vom 17. 04. 2024 festgestellt, dass die bloße Wahl zwischen einem Entgelt und der Einwilligung in verhaltensbezogene Werbung in aller Regel keine wirksame Einwilligung ergibt. Auf kleinere Anbieter ist diese Stellungnahme ausdrücklich nicht übertragen. |
| Arbeitgeber verlangt von Arbeitnehmer Einwilligung zur Leistungsüberwachung. | Machtgefälle | Strenge Prüfung, aber kein Automatismus. Wegen der Abhängigkeit im Arbeitsverhältnis ist die Freiwilligkeit die Ausnahme — ausgeschlossen ist sie nicht: § 26 Abs. 2 BDSG nennt ausdrücklich Fälle, in denen sie vorliegen kann, etwa wenn die beschäftigte Person einen rechtlichen oder wirtschaftlichen Vorteil erlangt oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, und über Zweck und Widerrufsrecht ist in Textform aufzuklären. Eine Einwilligung in die Leistungsüberwachung erfüllt diese Voraussetzungen regelmäßig nicht. |
5. Kinder und die Einwilligung (Art. 8 DSGVO)
Für Dienste der Informationsgesellschaft (z. B. Social Media, Apps, Online-Spiele) enthält Art. 8 DSGVO besondere Altersgrenzen. Die Einwilligung eines Kindes ist nur rechtmäßig, wenn das Kind mindestens 16 Jahre alt ist. Ist das Kind jünger, ist die „Zustimmung des Trägers der elterlichen Verantwortung“ (in der Regel die Eltern) erforderlich.
Die DSGVO erlaubt den Mitgliedstaaten, durch nationales Recht ein niedrigeres Alter vorzusehen, jedoch nicht unter 13 Jahren. Deutschland hat hiervon keinen Gebrauch gemacht, sodass hierzulande die Grenze bei 16 Jahren bleibt.
Häufige Fragen zur Einwilligung
Darf man ein vorausgefülltes Kästchen (Pre-Ticked Box) nutzen?
Nein. Art. 4 Nr. 11 DSGVO verlangt eine eindeutige bestätigende Handlung. Wie der EuGH im Fall Planet49 (C-673/17) klargestellt hat, stellt ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung dar, auch nicht bei Cookies.
Ist eine konkludente (stillschweigende) Einwilligung möglich?
Die DSGVO fordert eine unmissverständliche Willensbekundung. Ein bloßes Schweigen, Untätigkeit oder das Weitersurfen auf einer Website reicht nicht aus. Eine Einwilligung kann aber durch schlüssiges Verhalten erfolgen (z. B. aktives Einwerfen der Visitenkarte in eine Box zur Gewinnspielteilnahme).
Was passiert, wenn die Einwilligung unwirksam ist?
Fehlt eine wirksame Einwilligung und greift auch kein anderer Erlaubnistatbestand aus Art. 6 Abs. 1 DSGVO (wie z. B. berechtigtes Interesse oder Vertrag), ist die Verarbeitung unrechtmäßig. Dies kann Untersagungen, Schadensersatzforderungen (Art. 82 DSGVO) und Bußgelder (Art. 83 DSGVO) nach sich ziehen.
Was bedeutet das Koppelungsverbot nach Art. 7 Abs. 4 DSGVO?
Das Koppelungsverbot besagt, dass bei der Beurteilung der Freiwilligkeit besonders zu prüfen ist, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für diesen Vertrag eigentlich gar nicht erforderlich ist. Ist dies der Fall, spricht vieles gegen eine freiwillige Einwilligung.
Wie einfach muss der Widerruf einer Einwilligung sein?
Nach Art. 7 Abs. 3 DSGVO muss der Widerruf der Einwilligung „so einfach wie die Erteilung“ sein. Wurde die Einwilligung mit einem Klick online erteilt, muss sie auch mit einem Klick online widerrufen werden können. Der Widerruf wirkt jedoch nur für die Zukunft.
Ab welchem Alter können Kinder wirksam einwilligen?
Nach Art. 8 Abs. 1 DSGVO ist die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft nur rechtmäßig, wenn das Kind mindestens 16 Jahre alt ist. Ist das Kind jünger, ist die Zustimmung des Trägers der elterlichen Verantwortung (der Eltern) erforderlich. Die Mitgliedstaaten können ein niedrigeres Alter vorsehen, jedoch nicht unter 13 Jahren.
Einwilligungen rechtssicher prüfen
Lerne die Feinheiten von Art. 7 DSGVO und bereite dich optimal auf die Zertifizierungsprüfung zum Datenschutzbeauftragten (TÜV / DEKRA) vor.
Kostenlos registrierenRechtsgrundlagen & Quellen
Stand: 08/2026 · Alle Angaben nach dem Wortlaut der Datenschutz-Grundverordnung (DSGVO). Keine Rechtsberatung.