Das Widerspruchsrecht nach Art. 21 DSGVO: Warum „Bitte keine Werbung mehr“ für Unternehmen komplizierter ist, als es klingt

Ein Kunde schreibt: „Bitte schicken Sie mir keine Werbung mehr. Ich möchte auch nicht, dass meine Daten weiter für Werbezwecke verwendet werden.“ Der zuständige Mitarbeiter antortet freundlich, streicht den Kunden aus seiner Excel-Liste und hält den Fall für erledigt. Zwei Wochen später bekommt der Kunde trotzdem einen Newsletter, einen Monat später zusätzlich einen Werbebrief. Beide Systeme wussten schlicht nichts vom Widerspruch.

Genau an solchen Fällen zeigt sich, worum es beim Widerspruchsrecht in der Praxis wirklich geht: Die rechtliche Regelung in Art. 21 DSGVO ist überschaubar. Die eigentliche Herausforderung liegt darin, einen Widerspruch zu erkennen, richtig einzuordnen und anschließend in allen betroffenen Systemen tatsächlich umzusetzen.

Zwei Widerspruchsrechte, nicht eins

Ein verbreitetes Missverständnis zuerst: Das Widerspruchsrecht bedeutet nicht, dass jede rechtmäßige Datenverarbeitung jederzeit durch ein einfaches „Nein“ beendet werden kann. Wer eine Rechnung aus gesetzlichen Gründen aufbewahren muss oder Daten zur Abwicklung eines laufenden Vertrags benötigt, kann sich von einem Widerspruch nach Art. 21 DSGVO nicht einfach beeindrucken lassen – dafür ist die Norm nicht gemacht.

Art. 21 DSGVO unterscheidet vielmehr zwischen zwei ganz unterschiedlich starken Rechten, und wer diese beiden Fälle sauber auseinanderhält, hat den wichtigsten Teil der Materie bereits verstanden.

Das allgemeine Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO greift nur bei Verarbeitungen, die auf Art. 6 Abs. 1 lit. f) DSGVO (berechtigte Interessen) oder lit. e) DSGVO (öffentliche Aufgabe) beruhen – für private Unternehmen ist praktisch fast immer die erste Variante relevant, etwa bei Betrugsprävention, bestimmten Videoüberwachungen oder Formen der Direktwerbung. Der Gedanke dahinter: Bei einer Interessenabwägung prüft das Unternehmen zunächst, ob seine Interessen gegenüber denen eines typischen, durchschnittlichen Betroffenen überwiegen. Diese Abwägung kann aber nicht jede besondere persönliche Lebenssituation vorwegnehmen. Art. 21 Abs. 1 DSGVO schafft dafür ein Korrektiv: Die betroffene Person kann Gründe aus ihrer besonderen Situation geltend machen, die bei der ursprünglichen Abwägung möglicherweise nicht berücksichtigt werden konnten. Ein anschauliches Beispiel: Ein Veranstalter macht bei einem öffentlichen Event Fotos für seine Öffentlichkeitsarbeit – grundsätzlich eine zulässige Verarbeitung auf Basis berechtigter Interessen, gegen die die meisten Besucher nichts einzuwenden haben. Widerspricht nun ein Besucher, weil er sich im Zeugenschutzprogramm befindet und jede Veröffentlichung seines Bildes ein erhebliches persönliches Risiko darstellt, kann die allgemeine Interessenabwägung diesen Fall unmöglich vorweggenommen haben. Der Einzelfall muss neu bewertet werden – im Zweifel mit dem Ergebnis, dass genau dieses eine Foto nicht verwendet werden darf, während die Veranstaltungsfotografie im Übrigen unverändert zulässig bleibt.

Ganz anders bei der Direktwerbung: Hier kann nach Art. 21 Abs. 2 und 3 DSGVO jederzeit und ohne jede Begründung widersprochen werden. Eine erneute Interessenabwägung findet nicht statt, das Unternehmen kann dem Kunden also nicht entgegenhalten, sein Interesse an der Werbung überwiege trotzdem. Der Begriff Direktwerbung ist dabei weit zu verstehen – die Datenschutzkonferenz zählt neben klassischer Post-, E-Mail-, Telefon- und SMS-Werbung auch vermeintlich harmlose Kontakte wie Zufriedenheitsbefragungen oder Weihnachtsmailings dazu, sobald sie tatsächlich der Förderung des Unternehmens dienen.

Widerspruch, Widerruf, Löschung – warum die Unterscheidung zählt

In der Praxis werden diese Begriffe ständig durcheinandergeworfen, rechtlich sind es aber unterschiedliche Dinge: Ein Widerruf (Art. 7 Abs. 3 DSGVO) betrifft nur Verarbeitungen, die auf einer Einwilligung beruhen. Eine Löschung (Art. 17 DSGVO) hängt vom jeweiligen Löschgrund ab. Ein Widerspruch (Art. 21 DSGVO) richtet sich gegen Verarbeitungen auf Basis berechtigter Interessen oder – im Fall der Direktwerbung – gegen jede Werbeverarbeitung.

Für die Praxis heißt das: Schreibt jemand „Ich widerrufe meine Einwilligung zum Newsletter“, ist Art. 7 Abs. 3 DSGVO einschlägig. Schreibt er nur „Keine Werbung mehr“, muss niemand darüber diskutieren, ob juristisch korrekt von „Widerruf“ oder „Widerspruch“ die Rede war. Entscheidend ist, was die betroffene Person erkennbar erreichen möchte – nicht die Überschrift ihrer Nachricht. Der Datenschutz verlangt von niemandem juristische Fachsprache.

Nach einem Widerspruch reicht die alte Abwägung nicht mehr

Ein Punkt wird in der Praxis besonders häufig übersehen: Wurde eine Verarbeitung ursprünglich auf berechtigte Interessen gestützt, genügt es nach einem begründeten Widerspruch nicht, auf die früher durchgeführte Interessenabwägung zu verweisen. Die Verarbeitung ist grundsätzlich einzustellen, es sei denn, das Unternehmen kann zwingende schutzwürdige Gründe nachweisen, die die Interessen der betroffenen Person überwiegen – oder die Verarbeitung dient der Geltendmachung von Rechtsansprüchen. Die Beweislast liegt dabei beim Verantwortlichen, nicht beim Betroffenen. Der EuGH hat das im Zusammenhang mit gespeicherten Bonitätsdaten ausdrücklich bestätigt: Kann der Verantwortliche keine vorrangigen Gründe nachweisen, besteht regelmäßig auch ein Löschungsanspruch aus Art. 17 Abs. 1 lit. c) DSGVO.

Wichtig ist außerdem, was das Widerspruchsrecht nicht leistet: Es macht eine von Anfang an unzulässige Verarbeitung nicht nachträglich zulässig. Die Zulässigkeit einer auf berechtigte Interessen gestützten Verarbeitung muss vollständig geprüft sein, bevor sie beginnt. Der EuGH hat 2025 im sogenannten Mousse-Verfahren klargestellt, dass bei dieser Prüfung nicht zugunsten des Unternehmens berücksichtigt werden darf, dass Betroffene später ja noch widersprechen könnten. Ein Hinweis auf das Widerspruchsrecht ersetzt also niemals eine sorgfältige Interessenabwägung im Vorfeld.

DSGVO und UWG: zwei getrennte Prüfungen

Gerade bei Werbung reicht ein Blick in die DSGVO allein nicht aus. Sie beantwortet die Frage, ob personenbezogene Daten für Werbezwecke verarbeitet werden dürfen. Das Gesetz gegen den unlauteren Wettbewerb, insbesondere § 7 UWG, beantwortet zusätzlich, ob eine Person über einen bestimmten Kanal überhaupt werblich angesprochen werden darf. Bei postalischer Werbung kann eine Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO grundsätzlich tragen. Für E-Mail-, Fax- und Telefonwerbung verlangt § 7 UWG dagegen regelmäßig eine vorherige ausdrückliche Einwilligung, mit einer eng begrenzten Ausnahme für Bestandskunden nach § 7 Abs. 3 UWG. Der Satz „Newsletter können wegen unseres berechtigten Interesses verschickt werden“ ist deshalb gefährlich verkürzt: Selbst wenn die datenschutzrechtliche Abwägung trägt, kann § 7 UWG den Kanal trotzdem verbieten.

„Keine Werbung mehr“ heißt nicht „alle Daten löschen“

Ein Werbewiderspruch beendet nur die beanstandete Verarbeitung – nicht automatisch jede Datenverarbeitung des Unternehmens. Läuft noch ein Vertrag, dürfen die dafür erforderlichen Daten weiterverarbeitet werden. Müssen Rechnungsdaten aus gesetzlichen Gründen aufbewahrt werden, besteht dafür eine eigenständige Rechtsgrundlage. Entscheidend ist nicht die Frage „Sind noch Kundendaten vorhanden?“, sondern: Für welchen Zweck dürfen welche Daten nach dem Widerspruch noch verarbeitet werden?

Paradoxerweise kann es sogar erforderlich sein, ausgerechnet wegen eines Widerspruchs bestimmte Daten nicht zu löschen. Kauft ein Unternehmen regelmäßig neue Adressbestände ein und wird eine vollständig gelöschte Adresse Monate später erneut importiert, erkennt das System den früheren Widerspruch nicht mehr – die Person bekommt wieder Werbung. Eine Werbesperrdatei (auch Suppression List genannt), die nur die zur Sperrung notwendigen Daten enthält, verhindert genau das. Die Datenschutzkonferenz hält eine solche Liste bei Werbung auf Basis berechtigter Interessen grundsätzlich für zulässig – sie darf aber nicht zum Vorwand werden, umfangreiche Kundenprofile weiter vorzuhalten.

Wie schnell muss reagiert werden?

Die Monatsfrist aus Art. 12 Abs. 3 DSGVO betrifft nur die Antwort an den Betroffenen, nicht die eigentliche Umsetzung. Bei Direktwerbung verlangt die Datenschutzkonferenz eine unverzügliche Umsetzung – insbesondere bei elektronischer Werbung gibt es in aller Regel keinen Grund, einen funktionierenden Widerspruch erst Wochen später technisch wirksam werden zu lassen. Systeme sollten deshalb so organisiert sein, dass Kampagnendaten möglichst kurz vor Versand gegen die aktuelle Sperrliste abgeglichen werden.

Auch bei der Identitätsprüfung gilt: kein Automatismus. Eine pauschale Pflicht, bei jedem Widerspruch einen Ausweis zu verlangen, gibt es nicht – zusätzliche Informationen dürfen nach Art. 12 Abs. 6 DSGVO nur bei begründeten Zweifeln an der Identität verlangt werden. Wer von einer bestimmten E-Mail-Adresse aus widerspricht, kann in der Regel einfach gesperrt werden, ohne dass das Unternehmen weiß, wer genau dahintersteckt. Diese Linie bestätigt auch eine aktuelle, von der Europäischen Datenschutzausschuss-Expertengruppe erstellte Auswertung von rund 80 veröffentlichten Aufsichtsentscheidungen zum Widerspruchsrecht (sowie einer noch größeren Zahl zum Löschungsrecht): Bei einem risikolos umsetzbaren Widerspruch ist regelmäßig keine starke Authentifizierung erforderlich.

Das eigentliche Risiko sitzt in der Organisation, nicht im Gesetzestext

Wie teuer ein nicht sauber umgesetzter Widerspruch werden kann, zeigen aktuelle Bußgeldverfahren. Die italienische Datenschutzbehörde verhängte am 27.11.2025 gegen ein Sicherheitsunternehmen ein Bußgeld von 400.000 Euro, unter anderem weil ein ehemaliger Kunde trotz Widerspruchs weiter Werbe-SMS erhielt. Die schwedische Behörde sanktionierte am 17.10.2023 H&M mit 350.000 schwedischen Kronen, weil Werbewidersprüche mehrerer Personen nicht ohne unangemessene Verzögerung umgesetzt wurden. In beiden Fällen ging es nicht um eine exotische Rechtsfrage, sondern schlicht darum, dass ein klar geäußerter Wunsch die Organisation nicht zuverlässig erreicht hatte – im CRM gesperrt, im Newslettertool aber weiterhin aktiv, oder umgekehrt.

Für kleine und mittlere Unternehmen liegt darin tatsächlich eine beruhigende Erkenntnis: Es braucht kein kompliziertes Datenschutzsystem, um Art. 21 DSGVO gerecht zu werden. Entscheidend ist ein verlässlicher Prozess, der folgende Punkte abdeckt:

• Widersprüche können über jeden genutzten Kommunikationsweg eingehen – nicht nur über die zentrale Datenschutzadresse. Mitarbeiter im Vertrieb oder Kundenservice sollten Formulierungen wie „Keine Werbung mehr“ erkennen und sofort weiterleiten.
• Der Verarbeitungszweck muss zuerst geklärt werden: Betrifft der Widerspruch Direktwerbung, eine sonstige Verarbeitung auf Basis berechtigter Interessen, oder handelt es sich eigentlich um einen Widerruf oder ein Löschungsverlangen?
• Bei Direktwerbung ist unverzüglich zu stoppen – im CRM ebenso wie in Newslettersoftware, Telefonlisten und bei eingebundenen Dienstleistern.
• Andere Verarbeitungszwecke, etwa Vertragsabwicklung oder gesetzliche Aufbewahrungspflichten, bleiben davon unberührt und sind getrennt zu dokumentieren.

Zusammenfassung

Das Widerspruchsrecht wirkt auf den ersten Blick komplizierter, als es in der Praxis ist. Im Kern stehen sich zwei Fälle gegenüber: der allgemeine Widerspruch nach Art. 21 Abs. 1 DSGVO, der eine individuelle Neubewertung aufgrund besonderer persönlicher Umstände verlangt, und der Widerspruch gegen Direktwerbung, der jederzeit und ohne Begründung möglich ist und ohne erneute Abwägung sofort wirkt. Das größte Risiko für Unternehmen liegt selten in der juristischen Bewertung eines Einzelfalls, sondern darin, dass ein verständlicher Satz wie „Bitte keine Werbung mehr“ nicht zuverlässig durch alle beteiligten Systeme wandert. Ein zentraler Eingang, eine zweckbezogene Prüfung und eine funktionierende Sperrlogik machen aus Art. 21 DSGVO einen gut beherrschbaren Prozess – und genau darauf schauen inzwischen auch die Aufsichtsbehörden zuerst.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.