Rechtsfrage

Einwilligungen, die halten

Die Einwilligung ist eine von sechs Rechtsgrundlagen und die einzige, die jederzeit entfallen kann. Wo Vertrag oder berechtigtes Interesse einschlägig sind, macht eine Einwilligung die Verarbeitung ohne Not widerruflich. Wo sie richtig ist, entscheiden Granularität, Freiwilligkeit und die Möglichkeit, sie so einfach zurückzunehmen wie zu erteilen.

Ein Kästchen ohne Gegenstand

Auf dem Bildschirm liegt ein Formular mit einem Kästchen und dem Satz, die Teilnehmerin sei mit der Verarbeitung der Daten einverstanden. Welche Verarbeitung gemeint ist, steht nicht dabei. Das Formular ist die Anmeldung zu einer Schulung. Ohne das Kästchen läuft sie nicht weiter.

Die Einwilligung ist die schwächste der sechs Rechtsgrundlagen

Ob die Einwilligung für einen Zweck überhaupt die richtige Rechtsgrundlage ist, wird selten gefragt. Art. 6 Abs. 1 DSGVO nennt sechs gleichrangige Bedingungen. Die Einwilligung ist die erste von ihnen und nicht die vornehmste. Sie ist zugleich die einzige, die nach Art. 7 Abs. 3 DSGVO jederzeit entfallen kann.

Die Reihenfolge der Prüfung

Ist die Verarbeitung erforderlich?
Für den Vertrag, für eine rechtliche Pflicht, für eine Aufgabe im öffentlichen Interesse. Dann greift Art. 6 Abs. 1 Buchst. b, c oder e DSGVO. Die Einwilligung erübrigt sich.
Überwiegt ein berechtigtes Interesse?
Art. 6 Abs. 1 Buchst. f DSGVO verlangt eine Abwägung und deren Dokumentation. Sie kostet Arbeit und liefert eine Grundlage, die nicht widerrufen werden kann.
Erst dann die Einwilligung
Sie ist richtig, wo die Verarbeitung nicht erforderlich ist und kein überwiegendes Interesse besteht, also bei Werbung, Fotos und der Weitergabe an Dritte ohne eigenen Zweck.

3 von 3

Eine überflüssige Einwilligung wird meist erst dann zum Problem, wenn sie widerrufen wird. Die Verarbeitung kann anschließend nicht rückwirkend auf den Vertrag gestützt werden, da gegenüber der betroffenen Person eine andere Rechtsgrundlage angegeben wurde.

Einwilligung oder berechtigtes Interesse

Einwilligung	Merkmal	Berechtigtes Interesse
Erklärung und NachweisFormular, Protokoll, Verwaltung der Zustände.	Aufwand vorher	Dokumentierte AbwägungEinmal geschrieben, danach nur bei Änderungen fortzuschreiben.
Jederzeit widerruflichArt. 7 Abs. 3 DSGVO, ohne Begründung und ohne Frist.	Bestand	Widerspruch möglichArt. 21 DSGVO verlangt Gründe, außer bei Direktwerbung.
Je Person ein ZustandDer Zustand muss in jedem System ankommen, in dem verarbeitet wird.	Aufwand danach	Eine Regel für alleAbweichungen nur, wo widersprochen wurde.
Werbung, Fotos, WeitergabeAlles, was ohne den Willen der Person nicht zu rechtfertigen ist.	Passt für	Sicherheit, Betrieb, AnalyseAlles, was dem eigenen Betrieb dient und die Person kaum belastet.

Die Einwilligung ist nicht der sichere Weg, sondern der aufwendigere mit dem schwächeren Bestand. Sie gehört dorthin, wo die Verarbeitung ohne den Willen der Person nicht zu rechtfertigen wäre.

Ein Kästchen für mehrere Zwecke ist keine Einwilligung

Zur Frage, ob eine Einwilligung mehrere Verarbeitungszwecke zugleich erfassen kann, hat der EuGH mit Urteil vom 01.10.2019 Stellung genommen. Danach muss sich die Willensbekundung ausdrücklich auf die jeweilige Datenverarbeitung beziehen. Eine Einwilligung kann nicht aus einer Erklärung zu einem anderen Sachverhalt hergeleitet werden. Die Teilnahme an einem Gewinnspiel genügte daher nicht als Einwilligung in das Setzen von Cookies.

Vier Anforderungen aus Art. 4 Nr. 11 DSGVO

Freiwillig

Nach Art. 7 Abs. 4 DSGVO kann die Freiwilligkeit einer Einwilligung in Frage stehen, wenn sie an einen Vertrag gekoppelt wird, obwohl sie für dessen Durchführung nicht notwendig ist. Auch drohende Nachteile im Fall einer Verweigerung sprechen gegen ihre Freiwilligkeit.

Für den bestimmten Fall

Je Zweck eine eigene Entscheidung. Newsletter, Weitergabe an Partner und Veröffentlichung eines Fotos sind drei Zwecke und brauchen drei Kästchen. Ein Sammelkästchen fasst zusammen, was die betroffene Person getrennt entscheiden müsste.

In informierter Weise

Vor der Erklärung stehen der Verantwortliche, der Zweck, die Empfänger und das Widerrufsrecht. Art. 13 Abs. 2 Buchst. c DSGVO verlangt den Hinweis auf den Widerruf ausdrücklich vor der Abgabe.

Unmissverständlich

Ein voreingestelltes Kästchen genügt nicht. Erwägungsgrund 32 der DSGVO schließt Stillschweigen, bereits angekreuzte Kästchen und Untätigkeit ausdrücklich aus. Verlangt ist eine eindeutige bestätigende Handlung.

Der Widerruf muss so einfach sein wie die Erteilung

Woran eine wirksam erteilte Einwilligung später scheitert, ist meistens der Widerruf. Art. 7 Abs. 3 Satz 4 DSGVO verlangt dieselbe Leichtigkeit. Wo die Erteilung ein Klick ist und der Widerruf eine E-Mail an eine allgemeine Adresse, ist die Anforderung nicht erfüllt.

Der Zustand muss außerdem dort ankommen, wo verarbeitet wird. Ein Widerruf, der im Newslettersystem greift und im Kundenverwaltungssystem nicht, ist nicht umgesetzt.

Drei Fälle verlangen mehr als die allgemeine Form

Ob die allgemeinen Anforderungen genügen, entscheidet sich an der Art der Daten und an der Person. Drei Fälle heben die Schwelle.

Zusätzliche Voraussetzungen

Besondere Kategorien. Art. 9 Abs. 2 Buchst. a DSGVO verlangt eine ausdrückliche Einwilligung für einen oder mehrere festgelegte Zwecke, also mehr als eine bestätigende Handlung
Minderjährige. Art. 8 DSGVO verlangt bei Diensten der Informationsgesellschaft unter sechzehn Jahren die Einwilligung der Sorgeberechtigten und angemessene Anstrengungen, sich davon zu vergewissern
Beschäftigte. § 26 Abs. 2 BDSG verlangt Textform sowie eine Aufklärung über Zweck und Widerrufsrecht und lässt Freiwilligkeit insbesondere zu, wo ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird

So unterstützen wir Sie bei den Einwilligungsformularen

Eine Bestandsaufnahme sollte beim Verzeichnis der Verarbeitungstätigkeiten ansetzen. Dort ist für jede Verarbeitung die jeweilige Rechtsgrundlage dokumentiert. Enthält das Verzeichnis Einwilligungen als Rechtsgrundlage, ergibt sich daraus unmittelbar, welche Einwilligungserklärungen überprüft werden müssen. Zugleich zeigt es auf, in welchen Verfahren und Systemen ein Widerruf berücksichtigt werden können muss.

Der wettbewerbsrechtliche Teil der werblichen Ansprache liegt außerhalb des Datenschutzrechts. § 7 Abs. 2 Nr. 2 UWG verlangt für Werbung per elektronischer Post eine vorherige ausdrückliche Einwilligung. Das ist eine andere Prüfung als die des Art. 6 Abs. 1 Buchst. a DSGVO. Diese Prüfung, die Gestaltung der Ausnahme des § 7 Abs. 3 UWG und die Abwehr einer Abmahnung laufen über die angegliederte Kanzlei.

Häufige Fragen

Wann ist eine Einwilligung die falsche Wahl?

Wo eine andere Bedingung des Art. 6 Abs. 1 DSGVO einschlägig ist. Die Verarbeitung wird durch die Einwilligung widerruflich. Nach dem Widerruf lässt sich die Rechtsgrundlage nicht nachträglich auf den Vertrag oder das berechtigte Interesse umstellen.

Darf eine Leistung von der Einwilligung abhängen?

Nur soweit die Verarbeitung für die Leistung erforderlich ist. Art. 7 Abs. 4 DSGVO verlangt, der Kopplung bei der Freiwilligkeitsprüfung in größtmöglichem Umfang Rechnung zu tragen. Ein Gewinnspiel, das die Teilnahme von einer Werbeeinwilligung abhängig macht, ist der Anlassfall des EuGH.

Wie lässt sich eine Einwilligung belegen?

Art. 7 Abs. 1 DSGVO legt die Nachweislast dem Verantwortlichen auf. Zu dokumentieren sind der Wortlaut der Erklärung, der Zeitpunkt und die Art der Bestätigung. Ohne den Wortlaut lässt sich später nicht zeigen, worin eingewilligt wurde.

Genügt ein vorausgewähltes Kästchen?

Nein. Der EuGH hat am 01.10.2019 entschieden, dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung ergibt. Erwägungsgrund 32 der DSGVO schließt Stillschweigen, bereits angekreuzte Kästchen und Untätigkeit ausdrücklich aus.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.