Eine Einwilligung nach DSGVO ist nur wirksam, wenn sie freiwillig, für einen bestimmten Zweck, in informierter Weise und unmissverständlich erteilt wurde, und der Betrieb muss das nachweisen können. Sie ist außerdem jederzeit widerrufbar. Gerade deshalb ist sie nicht immer die beste Rechtsgrundlage: Wo ein Vertrag, eine gesetzliche Pflicht oder ein berechtigtes Interesse trägt, sollte man sich nicht auf eine Einwilligung stützen.
Wann eine Einwilligung die richtige Grundlage ist
Die DSGVO kennt sechs gleichrangige Rechtsgrundlagen in Art. 6 Abs. 1. Die Einwilligung ist eine davon. Sie passt, wenn die Verarbeitung für den Vertrag nicht nötig ist und die betroffene Person frei entscheiden soll, etwa bei:
- Newsletter und Werbung per E-Mail,
- Fotos von Beschäftigten oder Kunden auf der Website oder in sozialen Medien,
- Aufnahme von Bewerbern in einen Talentpool,
- nicht notwendigen Cookies und Tracking auf der Website,
- Terminerinnerungen per SMS.
Ein häufiger Fehler ist die Einwilligung „zur Sicherheit“, obwohl eine andere Rechtsgrundlage greift. Widerruft die Person dann, entsteht der Eindruck, die Verarbeitung müsse enden, obwohl sie eigentlich weiterlaufen dürfte. Das sorgt für Verwirrung und im Streitfall für Beweisprobleme.
Die fünf Voraussetzungen
Freiwillig
Die Person muss eine echte Wahl haben. Wird ein Vertrag von einer Einwilligung abhängig gemacht, die dafür nicht nötig ist, spricht das gegen die Freiwilligkeit. Im Arbeitsverhältnis ist Freiwilligkeit wegen der Abhängigkeit besonders zu prüfen. Sie liegt nach § 26 Abs. 2 BDSG vor allem dann vor, wenn die Beschäftigten einen eigenen Vorteil haben oder beide Seiten gleichgelagerte Interessen verfolgen.
Für einen bestimmten Fall
Eine Einwilligung „für alle Zwecke des Unternehmens“ ist unwirksam. Jeder Zweck braucht eine eigene, erkennbare Zustimmung.
Informiert
Die Person muss wissen, wer was wozu verarbeitet und dass sie widerrufen kann. Der Text muss verständlich sein und darf nicht in AGB versteckt werden.
Unmissverständlich
Erforderlich ist eine aktive Handlung. Vorausgefüllte Häkchen, Schweigen oder bloßes Weitersurfen genügen nicht.
Nachweisbar
Art. 7 Abs. 1 DSGVO legt die Beweislast beim Betrieb ab. Festzuhalten sind wer, wann, wozu und mit welchem Text eingewilligt hat. Bei E-Mail-Werbung hat sich dafür das Double-Opt-in-Verfahren durchgesetzt.
Der Widerruf
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung. Wer per Klick einwilligt, muss auch per Klick widerrufen können, nicht per Brief. Bis zum Widerruf bleibt die Verarbeitung rechtmäßig.
Nach dem Widerruf ist die Verarbeitung für diesen Zweck einzustellen. Ein Wechsel auf eine andere Rechtsgrundlage ist in der Regel nicht möglich, wenn vorher die Einwilligung als Grundlage genannt wurde. Deshalb ist die Wahl am Anfang so wichtig.
Besondere Fälle
Beschäftigte
Einwilligungen von Beschäftigten sollen nach § 26 Abs. 2 BDSG schriftlich oder elektronisch erfolgen. Sie sind über den Zweck und das Widerrufsrecht in Textform aufzuklären.
Gesundheitsdaten und andere besondere Kategorien
Hier verlangt Art. 9 Abs. 2 lit. a DSGVO eine ausdrückliche Einwilligung, die sich auf genau diese Daten bezieht.
Kinder
Bei Online-Diensten, die sich direkt an Kinder richten, ist unter 16 Jahren die Zustimmung der Eltern erforderlich.
Praktische Umsetzung
Bewährt hat sich ein einfaches Register: welche Einwilligungen es im Betrieb gibt, welcher Text gilt, wo die Nachweise liegen und wie ein Widerruf bearbeitet wird. Der Einwilligungstext gehört zur Information nach Art. 13 DSGVO, die wir im Beitrag zu den Informationspflichten beschreiben. Fragt jemand nach, welche Einwilligungen vorliegen, ist das ein Fall für das Auskunftsersuchen nach Art. 15.
Unser Vorgehen
Wir prüfen, wo im Betrieb Einwilligungen eingeholt werden, ob sie tatsächlich nötig sind und ob sie halten. Texte, Nachweise und Widerrufswege bringen wir in eine einheitliche Form. Als externer Datenschutzbeauftragter prüfen wir neue Einwilligungen, bevor sie in Umlauf gehen.
Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zur Einwilligung
Wann ist eine Einwilligung nach DSGVO wirksam?
Wenn sie freiwillig, für einen bestimmten Zweck, informiert und durch eine eindeutige aktive Handlung erteilt wurde. Der Betrieb muss die Einwilligung nachweisen können, etwa mit Zeitpunkt, Text und Art der Erteilung.
Muss eine Einwilligung schriftlich sein?
Die DSGVO verlangt keine Schriftform, aber einen Nachweis. Im Arbeitsverhältnis soll die Einwilligung nach § 26 Abs. 2 BDSG schriftlich oder elektronisch erfolgen.
Wie einfach muss der Widerruf sein?
So einfach wie die Erteilung. Wer online per Klick einwilligt, muss auch online widerrufen können. Der Widerruf wirkt für die Zukunft, die bisherige Verarbeitung bleibt rechtmäßig.
Können Beschäftigte wirksam einwilligen?
Ja, wenn die Einwilligung freiwillig ist. Das ist vor allem der Fall, wenn die Beschäftigten einen eigenen Vorteil haben oder beide Seiten gleichgelagerte Interessen verfolgen, etwa bei Fotos für die Website.
Sollte man zur Sicherheit immer eine Einwilligung einholen?
Nein. Greift eine andere Rechtsgrundlage, etwa ein Vertrag oder eine gesetzliche Pflicht, ist die Einwilligung der falsche Weg. Nach einem Widerruf kann in der Regel nicht auf eine andere Grundlage gewechselt werden.
