Einwilligung nach DSGVO: Voraussetzungen richtig prüfen
Eine Einwilligung ist nur dann eine belastbare Rechtsgrundlage, wenn die betroffene Person tatsächlich frei entscheiden kann, verständlich informiert wurde und aktiv zustimmt. Gerade bei Behörden, Beschäftigten, Kindern und sensiblen Daten ist eine sorgfältige Prüfung notwendig.
Kurzantwort
Eine Einwilligung nach DSGVO ist wirksam, wenn sie freiwillig, für einen oder mehrere bestimmte Zwecke, informiert und durch eine eindeutige bestätigende Handlung erteilt wird.
Der Verantwortliche muss nachweisen können, wann, wofür und auf Grundlage welcher Informationen die Zustimmung erteilt wurde. Zudem muss ein Widerruf jederzeit und grundsätzlich ebenso einfach wie die Erteilung möglich sein.
Die Einwilligung ist kein vorsorglicher Zusatz zu jeder Datenverarbeitung. Besteht bereits eine passende gesetzliche, vertragliche oder hoheitliche Rechtsgrundlage, sollte sie nicht ohne Weiteres zusätzlich eingeholt werden.
Einordnung
Wann ist eine Einwilligung nach DSGVO sinnvoll?
Die Einwilligung ist eine von mehreren möglichen Rechtsgrundlagen. Sie gibt der betroffenen Person Kontrolle darüber, ob eine konkret beschriebene Verarbeitung stattfinden darf.
Typische Anwendungsfälle sind freiwillige Newsletter, bestimmte Fotoveröffentlichungen, optionale Zusatzangebote, Werbung, nicht erforderliche Website-Dienste oder freiwillige Angaben in Formularen. Auch hier trägt die Einwilligung jedoch nur, wenn alle Wirksamkeitsvoraussetzungen erfüllt sind.
Für notwendige Vertragsdaten, gesetzliche Aufbewahrungspflichten oder hoheitliche Verwaltungsaufgaben ist sie regelmäßig nicht die passende Grundlage. Eine vermeintlich „zusätzliche Sicherheit“ entsteht durch eine vorsorgliche Einwilligung nicht.
Grundsatz: Zuerst den konkreten Zweck und die passende Rechtsgrundlage bestimmen. Erst danach entscheidet sich, ob eine Einwilligung benötigt wird.
Rechtsgrundlagen
Welche Vorschriften gelten?
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung. Die Zustimmung muss durch eine Erklärung oder eine andere eindeutige bestätigende Handlung erkennbar werden.
Art. 6 Abs. 1 Buchst. a DSGVO enthält die allgemeine Rechtsgrundlage. Art. 7 DSGVO regelt insbesondere Nachweis, Gestaltung und Widerruf. Werden besondere Kategorien personenbezogener Daten verarbeitet, kann eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO erforderlich sein.
Für direkt an Kinder gerichtete Dienste der Informationsgesellschaft enthält Art. 8 DSGVO eine besondere Regelung. Im Beschäftigungsverhältnis ist zusätzlich § 26 Abs. 2 BDSG zu beachten.
Unabhängig von der Einwilligung bleiben die Datenschutzgrundsätze bestehen. Eine Zustimmung erlaubt daher weder unbegrenzte Datenerhebung noch unklare Zwecke oder unangemessen lange Speicherfristen.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD stellt eine ausführliche Orientierungshilfe zur Einwilligung bereit. Für öffentliche Stellen steht dieses Instrument häufig hinter gesetzlichen Verarbeitungsbefugnissen zurück. Dennoch kann es bei echten freiwilligen Zusatzangeboten eine geeignete Grundlage sein.
Besonders kritisch bewertet der BayLfD Situationen mit Machtungleichgewicht oder faktischem Zwang. Die betroffene Person muss eine wirkliche Wahl haben und eine Zustimmung ohne Nachteile verweigern oder zurückziehen können.
Außerdem warnt der BayLfD davor, vorsorglich Einwilligungen für Verarbeitungen einzuholen, die bereits gesetzlich erlaubt oder vorgeschrieben sind. Dadurch könnte fälschlich der Eindruck entstehen, die Verarbeitung hänge von einer freien Entscheidung ab.
Der Nachweis ist so lange vorzuhalten, wie sich der Verantwortliche auf die Einwilligung stützt. Eine unbegrenzte Aufbewahrung ist jedoch nicht vorgesehen und muss anhand des konkreten Zwecks beurteilt werden.
Für Kommunen bedeutet das: Einwilligungen eignen sich eher für freiwillige Newsletter, optionale Veröffentlichungen oder Zusatzangebote als für Pflichtaufgaben und hoheitliche Verfahren.
Bayerische Unternehmen
Was sagt der BayLDA?
Das BayLDA erläutert in seinen aktuellen FAQ mehrere praktische Fragen zur Einwilligung. Eine allgemeine feste Gültigkeitsdauer enthält die DSGVO nicht. Maßgeblich sind Kontext, Umfang, Erwartungen der betroffenen Person und mögliche Veränderungen der Verarbeitung.
Bei Kindern unterscheidet das BayLDA klar: Art. 8 DSGVO enthält keine allgemeine Altersgrenze für jede Datenverarbeitung. Die dort genannte Altersgrenze betrifft nur direkt angebotene Dienste der Informationsgesellschaft, wenn die Verarbeitung auf einer Einwilligung beruht.
Für den Nachweis genügt es nach Auffassung des BayLDA grundsätzlich, unterschriebene Einwilligungen digital aufzubewahren. Das Papieroriginal ist nicht zwingend erforderlich. Entscheidend ist, dass Inhalt und Erteilung belastbar dokumentiert bleiben.
Die frühere BayLDA-Arbeitshilfe zu Einwilligungsformularen bezog sich noch auf das alte Bundesdatenschutzgesetz und Telemediengesetz. Für die heutige Gestaltung sollten daher vorrangig DSGVO, aktuelle FAQ, DSK-Hinweise und EDSA-Leitlinien herangezogen werden.
Anforderungen
Sechs Voraussetzungen einer wirksamen Einwilligung
Die betroffene Person hat eine echte Wahl und erleidet bei einer Ablehnung keine Nachteile.
Der Zweck ist konkret beschrieben. Pauschale Zustimmungen für beliebige Verarbeitungen reichen nicht.
Vor der Entscheidung stehen alle wesentlichen Informationen klar und verständlich zur Verfügung.
Eine Erklärung oder bestätigende Handlung ist erforderlich. Schweigen und vorangekreuzte Felder genügen nicht.
Der Verantwortliche kann Inhalt, Zeitpunkt, Version und Art der Erteilung belegen.
Die Zustimmung lässt sich jederzeit mit Wirkung für die Zukunft einfach zurücknehmen.
Die Einwilligung muss bereits vor Beginn der Verarbeitung wirksam vorliegen. Eine zuvor rechtsgrundlos durchgeführte Verarbeitung lässt sich nicht rückwirkend durch eine spätere Zustimmung heilen.
Kernproblem
Freiwilligkeit, Kopplungsverbot und getrennte Zwecke
Freiwilligkeit setzt Kontrolle und eine echte Entscheidungsmöglichkeit voraus. Druck, erhebliche Nachteile, Abhängigkeit oder eine irreführende Gestaltung können die Einwilligung unwirksam machen.
Art. 7 Abs. 4 DSGVO verlangt besondere Aufmerksamkeit, wenn eine Leistung von einer Einwilligung in Datenverarbeitungen abhängig gemacht wird, die für diese Leistung nicht erforderlich sind. Eine solche Kopplung spricht regelmäßig gegen die Freiwilligkeit.
Verschiedene Zwecke sollten außerdem getrennt auswählbar sein. Wer etwa einen Vertrag abschließt, muss nicht zugleich der Veröffentlichung eines Fotos, einem Werbenewsletter und einer Datenweitergabe an Kooperationspartner zustimmen.
- Keine Zustimmung als nicht verhandelbarer Bestandteil allgemeiner Bedingungen verstecken.
- Freiwillige Zusatzverarbeitungen klar von erforderlichen Angaben trennen.
- Für unterschiedliche Zwecke eigene Auswahlmöglichkeiten vorsehen.
- Ablehnung und späteren Widerruf ohne Nachteile ermöglichen.
Transparenz und Nachweis
Was muss vor der Einwilligung erklärt werden?
Die betroffene Person muss erkennen können, wer verantwortlich ist, welche Daten zu welchem Zweck verarbeitet werden und worauf sich ihre Entscheidung konkret bezieht. Je nach Fall sind auch Empfänger, eingesetzte Dienstleister, Drittlandübermittlungen oder besondere Risiken relevant.
Ebenso wichtig ist der Hinweis auf das jederzeitige Widerrufsrecht. Ein bloßer Verweis auf eine lange Datenschutzerklärung reicht nicht aus, wenn die konkrete Einwilligung darin nicht verständlich erkennbar wird.
Datenschutzhinweis und Einwilligung erfüllen unterschiedliche Aufgaben. Der Hinweis informiert über eine Verarbeitung. Die Einwilligung enthält die freiwillige Entscheidung der betroffenen Person. Beide Elemente dürfen verbunden dargestellt werden, müssen aber klar voneinander unterscheidbar bleiben.
Was sollte dokumentiert werden?
- Identität oder nachvollziehbare Zuordnung der einwilligenden Person,
- Zeitpunkt und Art der Erteilung,
- konkreter Zweck und betroffene Daten,
- damals verwendete Text- oder Formularversion,
- bereitgestellte Informationen und Widerrufshinweis,
- spätere Änderungen oder ein Widerruf.
Widerruf
Was passiert nach einem Widerruf?
Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis dahin auf ihrer Grundlage erfolgten Verarbeitung wird dadurch grundsätzlich nicht berührt.
Nach dem Widerruf darf die Verarbeitung nicht mehr auf die Einwilligung gestützt werden. Die betroffenen Daten sind zu löschen, wenn keine andere Rechtsgrundlage oder Aufbewahrungspflicht ihre weitere Verarbeitung erlaubt oder verlangt.
Ein nachträglicher Wechsel auf eine andere Rechtsgrundlage ist nicht beliebig möglich. Hat der Verantwortliche ausdrücklich vermittelt, dass allein die freie Zustimmung entscheidend ist, kann ein überraschender Wechsel gegen Transparenz und Fairness verstoßen.
Der Nachweis der früheren Einwilligung und des Widerrufs darf für Rechenschafts- oder Rechtsverteidigungszwecke noch erforderlich sein. Auch diese Dokumentation ist jedoch zu löschen, sobald kein nachvollziehbarer Zweck mehr besteht.
Kommunale Praxis
Wann dürfen Kommunen Einwilligungen einsetzen?
Bei öffentlichen Stellen besteht häufig ein Machtungleichgewicht. Bürgerinnen und Bürger können einer zuständigen Behörde meist nicht ausweichen. Deshalb sind gesetzliche Aufgabennormen regelmäßig die passendere Rechtsgrundlage.
Eine Einwilligung ist dennoch möglich, wenn die Entscheidung tatsächlich frei bleibt. Das kann beispielsweise bei einem freiwilligen Newsletter, einem optionalen Veranstaltungsverteiler oder bestimmten Fotoveröffentlichungen der Fall sein.
Pflichtangaben für ein Verwaltungsverfahren und freiwillige Zusatzangaben müssen klar getrennt werden. Auch darf eine Ablehnung weder die Bearbeitung eines Antrags noch den Zugang zu einer kommunalen Leistung beeinträchtigen.
Newsletter, freiwillige Fotoveröffentlichung, optionale Kontaktwege oder zusätzliche Informationsangebote.
Pflichtaufgaben, hoheitliche Verfahren, gesetzlich vorgeschriebene Datenerhebung oder zwingende Nachweise.
Beschäftigtendatenschutz
Einwilligung von Beschäftigten
Das Arbeitsverhältnis ist durch Abhängigkeit geprägt. Deshalb ist eine freiwillige Entscheidung häufig schwieriger nachzuweisen. Für die meisten notwendigen Personalverarbeitungen sollte nicht auf eine Einwilligung zurückgegriffen werden.
§ 26 Abs. 2 BDSG verlangt eine besondere Prüfung der Freiwilligkeit. Sie kann etwa eher vorliegen, wenn Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erhalten oder beide Seiten gleichgerichtete Interessen verfolgen.
Die Beschäftigteneinwilligung soll grundsätzlich schriftlich oder elektronisch erfolgen, sofern nicht besondere Umstände eine andere Form rechtfertigen. Beschäftigte sind außerdem über Zweck und Widerrufsrecht zu informieren.
Praktisch kann eine Einwilligung beispielsweise bei einer freiwilligen Fotoaufnahme für die Website tragfähig sein, wenn eine Ablehnung folgenlos bleibt und eine gleichwertige Alternative besteht. Für Überwachung, Leistungsbewertung oder notwendige Personalverwaltung ist sie meist keine verlässliche Grundlage.
Minderjährige
Einwilligung bei Kindern und Jugendlichen
Die DSGVO kennt keine allgemeine starre Altersgrenze für jede Einwilligung. Entscheidend sind der konkrete Verarbeitungsvorgang, die Einsichtsfähigkeit und mögliche spezialgesetzliche Vorgaben.
Art. 8 DSGVO gilt nur, wenn ein Dienst der Informationsgesellschaft direkt einem Kind angeboten wird und die Verarbeitung auf einer Einwilligung beruht. In Deutschland kann das Kind in diesem speziellen Fall ab 16 Jahren selbst einwilligen. Unterhalb dieser Grenze ist grundsätzlich die Zustimmung der sorgeberechtigten Person erforderlich.
Außerhalb des Art. 8 DSGVO darf diese Altersgrenze nicht schematisch übertragen werden. Bei Fotos in Kita und Schule, Vereinsangeboten oder Gesundheitsdaten ist der jeweilige Kontext gesondert zu prüfen. Mit zunehmendem Alter sollte außerdem der Wille des Kindes oder Jugendlichen angemessen berücksichtigt werden.
Art. 9 DSGVO
Ausdrückliche Einwilligung bei sensiblen Daten
Besondere Kategorien personenbezogener Daten unterliegen erhöhtem Schutz. Dazu gehören unter anderem Gesundheitsdaten, genetische Daten, bestimmte biometrische Daten sowie Angaben zu Religion, politischer Meinung oder sexueller Orientierung.
Soll die Ausnahme nach Art. 9 Abs. 2 Buchst. a DSGVO genutzt werden, muss die Einwilligung ausdrücklich erfolgen. Der Text muss deshalb besonders klar benennen, welche sensiblen Daten für welchen Zweck verarbeitet werden.
Vorab ist zu prüfen, ob eine andere gesetzliche Ausnahme einschlägig ist. Gerade in Arztpraxen, Beschäftigungsverhältnissen und öffentlichen Stellen bestehen häufig spezielle Vorschriften, die nicht durch eine pauschale Einwilligung ersetzt werden sollten.
Praxisfehler
Typische Fehler bei Einwilligungen
„Ich bin mit der Datenverarbeitung einverstanden“ beschreibt weder Zweck noch Umfang ausreichend.
Die Leistung wird verweigert, obwohl die zusätzliche Verarbeitung hierfür nicht notwendig ist.
Werbung, Fotos und Weitergaben lassen sich nicht einzeln auswählen.
Die Zustimmung wird bereits vorausgesetzt, statt aktiv eingeholt zu werden.
Inhalt, Zeitpunkt oder verwendete Textversion lassen sich später nicht mehr belegen.
Die Erteilung dauert einen Klick, die Rücknahme erfordert dagegen Brief, Login oder lange Suche.
Prüfpunkte
Checkliste für eine Einwilligung nach DSGVO
Ist die Einwilligung für diesen Zweck wirklich die passende Rechtsgrundlage?
Kann die betroffene Person ohne Druck und ohne Nachteile ablehnen?
Ist jeder Verarbeitungszweck konkret und verständlich beschrieben?
Können unterschiedliche Zwecke getrennt ausgewählt werden?
Sind Datenarten und relevante Empfänger erkennbar?
Ist die Einwilligung von Datenschutzhinweisen und Vertragserklärungen unterscheidbar?
Erfolgt die Zustimmung durch eine aktive bestätigende Handlung?
Sind vorangekreuzte Felder, Schweigen und bloße Untätigkeit ausgeschlossen?
Wird vorab verständlich über das Widerrufsrecht informiert?
Ist der Widerruf ebenso einfach wie die Erteilung?
Können Zeitpunkt, Textversion und Art der Erteilung nachgewiesen werden?
Besteht ein Prozess für Widerruf, Sperrung, Löschung und Nachweis?
Sind Beschäftigte, Minderjährige oder besondere Kategorien personenbezogener Daten betroffen?
Wird die Einwilligung bei wesentlichen Änderungen neu eingeholt?
Häufige Fragen
FAQ zur Einwilligung nach DSGVO
Ist eine Einwilligung immer die sicherste Rechtsgrundlage?
Nein. Sie ist nur geeignet, wenn eine echte freiwillige Entscheidung möglich ist. Für Verträge, gesetzliche Pflichten oder öffentliche Aufgaben bestehen häufig passendere und verlässlichere Rechtsgrundlagen.
Muss eine Einwilligung schriftlich erfolgen?
Die DSGVO schreibt grundsätzlich keine Schriftform vor. Die Einwilligung muss jedoch nachweisbar sein. Im Beschäftigungsverhältnis gelten nach § 26 Abs. 2 BDSG zusätzliche Form- und Informationsanforderungen.
Reicht ein vorangekreuztes Kästchen?
Nein. Eine wirksame Einwilligung erfordert eine aktive und eindeutige bestätigende Handlung. Schweigen, Untätigkeit oder bereits markierte Auswahlfelder genügen nicht.
Wie lange gilt eine Einwilligung?
Die DSGVO nennt keine allgemeine feste Frist. Die Gültigkeit hängt von Zweck, Umfang, Umständen und Erwartungen der betroffenen Person ab. Ändert sich die Verarbeitung wesentlich, ist regelmäßig eine neue Einwilligung erforderlich.
Kann eine Einwilligung jederzeit widerrufen werden?
Ja. Der Widerruf wirkt für die Zukunft und muss grundsätzlich ebenso einfach möglich sein wie die Erteilung. Auf das Widerrufsrecht ist bereits vor der Einwilligung hinzuweisen.
Darf eine Kommune Einwilligungen verwenden?
Ja, wenn eine echte freiwillige Wahl besteht. Bei hoheitlichen Aufgaben und Pflichtverfahren ist dagegen meist eine gesetzliche Rechtsgrundlage einschlägig. Geeignet sind eher freiwillige Zusatzangebote.
Müssen Daten nach einem Widerruf sofort gelöscht werden?
Nicht zwingend in jedem Fall. Die Verarbeitung darf nicht mehr auf die Einwilligung gestützt werden. Daten sind zu löschen, sofern keine andere Rechtsgrundlage, Aufbewahrungspflicht oder erforderliche Nachweispflicht entgegensteht.
Ergebnis
Fazit
Eine Einwilligung nach DSGVO ist kein universeller Absicherungstext. Sie trägt nur, wenn Zweck, Information, Freiwilligkeit, aktive Entscheidung, Nachweis und Widerruf zusammenpassen.
Besondere Vorsicht ist bei Behörden, Beschäftigten, Kindern und sensiblen Daten erforderlich. In diesen Bereichen können Abhängigkeiten, spezielle Vorschriften oder erhöhte Anforderungen gegen eine pauschale Einwilligung sprechen.
Wer Einwilligungen verwendet, sollte deshalb nicht nur ein Formular erstellen. Notwendig sind ebenso ein nachvollziehbarer Nachweis, ein einfacher Widerrufsweg und ein klarer Prozess für die weitere Verarbeitung oder Löschung.
Weiterlesen
Passende Themen auf der Website
Nachweise
Quellen
Einwilligung konkret prüfen lassen?
Ob eine Einwilligung wirklich trägt, hängt von Zweck, Freiwilligkeit, Gestaltung, Nachweis und Widerruf ab. Gerade bei Kommunen, Beschäftigten, Kindern, Fotos und sensiblen Daten lohnt sich eine sorgfältige Einzelfallprüfung.
Einwilligung prüfen lassen