Kurzdefinition: Der Widerruf der Einwilligung ist das jederzeitige Recht, eine erteilte Einwilligung zurückzunehmen. Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach möglich sein wie die Erteilung und wirkt für die Zukunft. [N-DSGVO-7]
Der Normwortlaut
Art. 7 Abs. 3 DSGVO bestimmt: „Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen.“ Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht, und er „muss so einfach wie die Erteilung der Einwilligung sein“. [N-DSGVO-7]
Kann man die Einwilligung jederzeit widerrufen?
Ja. Art. 7 Abs. 3 DSGVO gibt der betroffenen Person das Recht, die Einwilligung jederzeit und ohne Begründung zu widerrufen. Vor Abgabe der Einwilligung ist sie über dieses Recht zu informieren. Der Widerruf ist ein Kernmerkmal der freiwilligen Einwilligung. [N-DSGVO-7]
Was passiert mit der bisherigen Verarbeitung?
Sie bleibt rechtmäßig. Der Widerruf wirkt nur für die Zukunft: Die aufgrund der Einwilligung bis zum Widerruf erfolgte Verarbeitung wird nicht rückwirkend unrechtmäßig. Ab dem Widerruf fehlt aber die Rechtsgrundlage, sodass die weitere Verarbeitung zu beenden ist, wenn keine andere Grundlage besteht. [N-DSGVO-7] [N-DSGVO-6]
Wie einfach muss der Widerruf sein?
So einfach wie die Erteilung. Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf nicht schwerer gemacht wird als die Einwilligung selbst. Wurde die Einwilligung mit einem Klick erteilt, muss auch der Widerruf entsprechend einfach möglich sein. [N-DSGVO-7]
Ab wann wirkt der Widerruf?
Für die Zukunft. Nach Art. 7 Abs. 3 DSGVO berührt der Widerruf die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Er wirkt also ab dem Widerruf, nicht rückwirkend. [N-DSGVO-7]
Was folgt aus dem Widerruf für die weitere Verarbeitung?
Die Grundlage entfällt. Mit dem Widerruf entfällt die Einwilligung als Rechtsgrundlage; eine weitere Verarbeitung auf dieser Grundlage ist dann nicht mehr zulässig und bedürfte einer anderen Rechtsgrundlage. [N-DSGVO-7]
Wer kann die Einwilligung widerrufen?
Die betroffene Person. Das Widerrufsrecht des Art. 7 Abs. 3 DSGVO steht der Person zu, die die Einwilligung erteilt hat. Sie kann es jederzeit ausüben. [N-DSGVO-7]
Häufige Fehlannahmen
- „Eine erteilte Einwilligung ist bindend.“ Nein. Sie kann jederzeit widerrufen werden. [N-DSGVO-7]
- „Der Widerruf macht die frühere Verarbeitung rückwirkend rechtswidrig.“ Nein. Er wirkt nur für die Zukunft. [N-DSGVO-7]
- „Der Widerruf darf an Hürden geknüpft werden.“ Nein. Er muss so einfach sein wie die Erteilung. [N-DSGVO-7]
- „Der Widerruf ist an eine bestimmte Form gebunden.“ Nein. Art. 7 Abs. 3 DSGVO verlangt nur, dass der Widerruf so einfach wie die Erteilung der Einwilligung ist. [N-DSGVO-7]
- „Über das Widerrufsrecht muss nicht informiert werden.“ Nein. Die betroffene Person wird vor Abgabe der Einwilligung über das Widerrufsrecht in Kenntnis gesetzt (Art. 7 Abs. 3 DSGVO). [N-DSGVO-7]
Was die Geschäftsleitung tun sollte
- Widerruf ermöglichen. Einen ebenso einfachen Weg wie für die Einwilligung anbieten.
- Vorab informieren. Über das Widerrufsrecht vor der Einwilligung aufklären.
- Verarbeitung stoppen. Nach Widerruf ohne andere Grundlage die Verarbeitung beenden.
- Bisheriges dokumentieren. Zeitpunkt von Einwilligung und Widerruf festhalten.
Für die Geschäftsleitung
Der Widerruf ist die Kehrseite der Einwilligung: Wer auf Einwilligung setzt, muss den Ausstieg ebenso einfach machen wie den Einstieg. Für das Unternehmen heißt das, den Widerruf technisch vorzusehen und die Verarbeitung danach zu beenden — die bis dahin erfolgte Verarbeitung bleibt aber rechtmäßig.
Quellen
- [N-DSGVO-7] Art. 7 DSGVO (Bedingungen für die Einwilligung, Abs. 3). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-6] Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
