Kurzdefinition: Die Einwilligung ist eine der Rechtsgrundlagen der Verarbeitung. Art. 7 DSGVO regelt ihre Bedingungen: Der Verantwortliche muss sie nachweisen können, sie muss klar und verständlich eingeholt werden, und sie ist jederzeit widerrufbar. [N-DSGVO-7]
Der Normwortlaut
Art. 7 Abs. 1 DSGVO lautet: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ [N-DSGVO-7]
Wann ist eine Einwilligung wirksam?
Wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wurde — und wenn der Verantwortliche das nachweisen kann. Erfolgt die Einwilligung in einer schriftlichen Erklärung, die auch andere Sachverhalte betrifft, muss das Ersuchen nach Art. 7 Abs. 2 DSGVO klar von den anderen Sachverhalten unterscheidbar, verständlich und in klarer Sprache erfolgen. Eine im Kleingedruckten versteckte Einwilligung genügt nicht. [N-DSGVO-7]
Kann man eine Einwilligung widerrufen?
Ja, jederzeit. Nach Art. 7 Abs. 3 DSGVO hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen; der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Der Widerruf muss so einfach sein wie die Erteilung, und die betroffene Person ist vor der Einwilligung darüber zu informieren. Genau diese Widerruflichkeit macht die Einwilligung zu einer weniger stabilen Grundlage als etwa der Vertrag. [N-DSGVO-7]
Darf ein Vertrag von der Einwilligung abhängig gemacht werden?
Nur eingeschränkt. Bei der Beurteilung der Freiwilligkeit ist besonders zu prüfen, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für die Erfüllung nicht erforderlich ist. Diese Kopplungsprüfung stellt die Freiwilligkeit einer erzwungenen Einwilligung in Frage. [N-DSGVO-7]
Was muss der Verantwortliche im Streitfall können?
Den Nachweis führen. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person wirksam eingewilligt hat. Die Nachweislast liegt damit bei ihm, nicht bei der betroffenen Person. [N-DSGVO-7]
Muss die Einwilligungserklärung hervorgehoben sein?
Ja. Erfolgt die Einwilligung im Rahmen einer schriftlichen Erklärung, die auch andere Sachverhalte betrifft, muss das Ersuchen nach Art. 7 Abs. 2 DSGVO in verständlicher und leicht zugänglicher Form, in klarer und einfacher Sprache und von den anderen Sachverhalten klar unterscheidbar sein. [N-DSGVO-7]
Häufige Fehlannahmen
- „Eine einmal erteilte Einwilligung gilt dauerhaft.“ Nein. Sie ist nach Art. 7 Abs. 3 DSGVO jederzeit widerrufbar. [N-DSGVO-7]
- „Eine Einwilligung im Kleingedruckten reicht.“ Nein. Art. 7 Abs. 2 DSGVO verlangt eine klar unterscheidbare, verständliche Erklärung. [N-DSGVO-7]
- „Man kann jede Leistung an eine Einwilligung koppeln.“ Nur eingeschränkt. Ob eine Kopplung die Freiwilligkeit beschädigt, ist gesondert zu prüfen. [N-DSGVO-7]
- „Der Nutzer muss beweisen, dass er nicht eingewilligt hat.“ Nein. Der Verantwortliche muss nachweisen können, dass eine wirksame Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO). [N-DSGVO-7]
- „Der Widerruf darf umständlicher sein als die Zustimmung.“ Nein. Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung (Art. 7 Abs. 3 DSGVO). [N-DSGVO-7]
Was die Geschäftsleitung tun sollte
- Nachweis sichern. Die Einwilligung so einholen und dokumentieren, dass sie nachweisbar ist.
- Klar formulieren. Getrennt, verständlich, in klarer Sprache.
- Widerruf ermöglichen. So einfach wie die Erteilung.
- Kopplung meiden. Keine Einwilligung erzwingen, die für die Leistung nicht erforderlich ist.
Für die Geschäftsleitung
Die Einwilligung wirkt einfach, ist aber die anspruchsvollste Rechtsgrundlage: Sie muss nachweisbar, verständlich, freiwillig und jederzeit widerrufbar sein. Wer sie reflexhaft als Standard wählt, baut auf einer Grundlage, die die betroffene Person jederzeit entziehen kann. Oft ist eine andere Rechtsgrundlage des Art. 6 DSGVO die stabilere Wahl.
Quellen
- [N-DSGVO-7] Art. 7 DSGVO (Bedingungen für die Einwilligung), Abs. 1 bis 4. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
