Einwilligung nach DSGVO (Art. 7): Voraussetzungen und Fallstricke

Wann ist eine Einwilligung nach DSGVO wirksam?

Eine Einwilligung ist nach der Definition in Art. 4 Nr. 11 DSGVO nur dann wirksam, wenn sie als „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“ erfolgt. Schweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person stellen keine Einwilligung dar. Es braucht immer eine eindeutige bestätigende Handlung.

1. Die Nachweispflicht (Art. 7 Abs. 1)

Nach Art. 7 Abs. 1 DSGVO gilt: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche „nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Die Beweislast liegt also vollständig beim Verantwortlichen. In der Praxis erfordert dies ein belastbares Protokollierungssystem. Ein bestimmtes Verfahren schreibt die DSGVO dabei nicht vor — ein Double-Opt-in nennt sie nicht. Für E-Mail-Werbung verlangt jedoch § 7 Abs. 2 Nr. 2 UWG eine vorherige ausdrückliche Einwilligung, und die deutschen Aufsichtsbehörden halten wegen der Nachweisanforderungen der BGH-Rechtsprechung das Double-Opt-in-Verfahren für den tragfähigen Weg: Eine bloß gespeicherte IP-Adresse mit der Behauptung, von dort sei eingewilligt worden, genügt als Nachweis nicht. Die Speicherung von Zeitstempel und IP-Adresse aus Anmeldung und Bestätigung stützt sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

2. Das Trennungsgebot (Art. 7 Abs. 2)

Wird die Einwilligung durch eine schriftliche Erklärung eingeholt, die noch andere Sachverhalte betrifft (z. B. allgemeine Geschäftsbedingungen), schreibt Art. 7 Abs. 2 DSGVO vor: Das Ersuchen muss „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen. Außerdem muss es von den anderen Sachverhalten „klar zu unterscheiden“ sein. Eine gut versteckte Einwilligungsklausel am Ende seitenlanger AGB ist demnach unwirksam.

3. Das Widerrufsrecht (Art. 7 Abs. 3)

Art. 7 Abs. 3 DSGVO regelt den Widerruf der Einwilligung. Die betroffene Person hat das Recht, ihre Einwilligung „jederzeit zu widerrufen“. Der Widerruf muss „so einfach wie die Erteilung“ sein. Wer sich per einfachem Klick für einen Newsletter anmeldet, muss sich auch per einfachem Klick (z. B. über einen Unsubscribe-Link) wieder abmelden können.

4. Das Koppelungsverbot (Art. 7 Abs. 4)

Einer der häufigsten Fehlerquellen in der Praxis ist die mangelnde Freiwilligkeit. Nach Art. 7 Abs. 4 DSGVO muss bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, berücksichtigt werden, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, „die für die Erfüllung des Vertrags nicht erforderlich sind.“

5. Kinder und die Einwilligung (Art. 8 DSGVO)

Für Dienste der Informationsgesellschaft (z. B. Social Media, Apps, Online-Spiele) enthält Art. 8 DSGVO besondere Altersgrenzen. Die Einwilligung eines Kindes ist nur rechtmäßig, wenn das Kind mindestens 16 Jahre alt ist. Ist das Kind jünger, ist die „Zustimmung des Trägers der elterlichen Verantwortung“ (in der Regel die Eltern) erforderlich.

Die DSGVO erlaubt den Mitgliedstaaten, durch nationales Recht ein niedrigeres Alter vorzusehen, jedoch nicht unter 13 Jahren. Deutschland hat hiervon keinen Gebrauch gemacht, sodass hierzulande die Grenze bei 16 Jahren bleibt.