Die Einwilligung nach der DSGVO: nützliches Werkzeug, aber keine Universallösung
„Dann holen wir eben eine Einwilligung ein“ – dieser Gedanke fällt in vielen Unternehmen, sobald eine neue Datenverarbeitung ansteht. Ein Mitarbeiterfoto auf der Webseite, ein Newsletter, ein Analysetool im Kontaktformular: Die Einwilligung wirkt wie die bequemste Lösung, weil sie vermeintlich jede rechtliche Diskussion erübrigt. Wer unterschrieben oder auf „Einverstanden“ geklickt hat, sei auf der sicheren Seite.
Dieser Gedanke ist nachvollziehbar, aber datenschutzrechtlich riskant. Die Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO ist weder die wichtigste noch die sicherste Rechtsgrundlage der DSGVO, sondern eine von mehreren gleichwertigen Optionen. Sie passt vor allem dorthin, wo die betroffene Person tatsächlich frei entscheiden können soll, ob eine zusätzliche Verarbeitung stattfindet – und wo ein „Nein“ das Unternehmen nicht vor unlösbare Probleme stellt.
Bevor ein Unternehmen eine Einwilligung einholt, lohnt sich eine einfache Frage: Kann der Geschäftsprozess auch dann sinnvoll weiterlaufen, wenn die betroffene Person nicht einwilligt oder ihre Einwilligung später widerruft? Bei einem freiwilligen Newsletter lautet die Antwort meist Ja – der betreffende Kunde erhält dann eben keine Werbe-E-Mails mehr. Bei der gesetzlich vorgeschriebenen Lohnabrechnung eines Mitarbeiters lautet sie eindeutig Nein: Ein Arbeitgeber kann nicht hinnehmen, dass die Abrechnung deshalb ausbleibt, weil ein Mitarbeiter widerspricht. Für solche zwingend notwendigen Verarbeitungen ist die Einwilligung die falsche Rechtsgrundlage – hier tragen Vertragserfüllung, rechtliche Verpflichtung oder ähnliche Grundlagen.
Wer sich auf eine Einwilligung stützt, muss außerdem organisatorisch damit rechnen, dass sie verweigert oder widerrufen wird. Ab diesem Zeitpunkt darf die Verarbeitung nicht unverändert fortgesetzt werden. Genau das wird in der Praxis häufig unterschätzt.
Was eine wirksame Einwilligung ausmacht
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, die durch eine Erklärung oder eine eindeutig bestätigende Handlung zum Ausdruck kommt. Daraus ergeben sich vier zentrale Voraussetzungen, die in der Praxis deutlich mehr Substanz haben, als der kurze Gesetzestext vermuten lässt.
Freiwilligkeit bedeutet mehr, als dass niemand die Hand des Betroffenen geführt hat. Es muss eine echte Wahlmöglichkeit bestehen: Wer ablehnt oder widerruft, darf keinen erheblichen Nachteil erleiden. Ein Friseurbetrieb, der beim Bezahlen fragt, ob Kunden Werbe-E-Mails erhalten möchten, kann eine freiwillige Entscheidung ermöglichen – solange auch ein „Nein“ nichts am Preis oder an der Behandlung ändert. Anders liegt der Fall, wenn ein Rabatt nur gewährt wird, sofern der Kunde gleichzeitig in Werbung einwilligt, obwohl beides nichts miteinander zu tun hat. Genau dieses Kopplungsverbot greift Art. 7 Abs. 4 DSGVO auf: Wird die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht, die für den Vertrag nicht erforderlich ist, spricht das gegen die Freiwilligkeit. Der Praxistest lautet: Wäre die Leistung auch ohne diese zusätzliche Datenverarbeitung möglich? Ist die Antwort eindeutig Ja, darf die Verarbeitung nicht zur Voraussetzung gemacht werden. Das heißt allerdings nicht, dass jedes Modell, das eine Datenverarbeitung mit einer Gegenleistung verknüpft, automatisch unzulässig ist – bei sogenannten „Consent-or-Pay“-Modellen hat der Europäische Datenschutzausschuss (EDSA) 2024 speziell für große Online-Plattformen festgestellt, dass ein rein binäres „Tracking akzeptieren oder bezahlen“ häufig keine hinreichend freie Einwilligung ermöglicht. Diese Bewertung lässt sich nicht unbesehen auf jedes Geschäftsmodell eines kleineren Unternehmens übertragen, zeigt aber, wie genau Aufsichtsbehörden inzwischen hinschauen.
Besonders kritisch ist die Freiwilligkeit dort, wo ein Machtgefälle besteht – etwa im Beschäftigungsverhältnis. Die richtige Frage lautet nicht „Hat der Mitarbeiter unterschrieben?“, sondern „Hätte er sich auch getraut, Nein zu sagen, ohne Nachteile befürchten zu müssen?“ § 26 Abs. 2 BDSG verlangt deshalb, bei Beschäftigten die Abhängigkeit und die konkreten Umstände besonders zu berücksichtigen. Grundsätzlich ist eine schriftliche oder elektronische Form vorgesehen. Das schließt Einwilligungen von Mitarbeitern keineswegs aus – ein freiwilliges Foto auf der Unternehmenswebseite ist ein typischer geeigneter Fall, sofern eine Ablehnung wirklich folgenlos bleibt. Ungeeignet ist die Einwilligung dagegen für Verarbeitungen, ohne die der Arbeitgeber seine Aufgaben nicht erfüllen könnte. Besonders vorsichtig sollten Unternehmen bei Bewerbern oder befristet Beschäftigten sein: Wer noch auf eine Übernahme hofft, befindet sich in einer anderen Position als ein langjähriger Mitarbeiter. Dass solche Konstellationen keine Theorie sind, zeigt ein Fall aus Griechenland: Die dortige Aufsichtsbehörde verhängte 2019 ein Bußgeld von 150.000 Euro gegen ein Unternehmen, das Beschäftigtendaten auf eine ungeeignete Einwilligung gestützt hatte.
Ein bestimmter Zweck bedeutet, dass die betroffene Person erkennen können muss, wofür ihre Daten eingesetzt werden. Pauschale Formulierungen wie „Ich bin mit der Verarbeitung meiner Daten einverstanden“ oder ein unter „Marketing“ verstecktes Bündel unterschiedlicher Verarbeitungen reichen nicht aus. Sind mehrere unabhängige Zwecke betroffen – etwa Newsletter und Datenweitergabe an einen Kooperationspartner –, muss die betroffene Person getrennt entscheiden können. Dieser Grundsatz der Granularität lässt sich gut an einem Gewinnspiel veranschaulichen: Die Teilnahme selbst benötigt keine Einwilligung, wohl aber der eigene Newsletter und erst recht die Weitergabe der Daten an einen Versicherungsvermittler – und beides sollte der Kunde unabhängig voneinander an- oder abwählen können.
Informiert heißt, dass ein „Ja“ nur dann etwas wert ist, wenn die betroffene Person versteht, wozu sie es gibt. Der EDSA nennt hier insbesondere Identität des Verantwortlichen, Zweck, betroffene Daten und das Widerrufsrecht als wesentliche Informationen. Wichtig ist die Unterscheidung zwischen der eigentlichen Einwilligungserklärung, die eine bewusste Entscheidung ermöglichen soll, und der Datenschutzinformation, die die umfassenden Pflichten aus Art. 13 und 14 DSGVO erfüllt. Eine 15-seitige Datenschutzerklärung ersetzt keine verständliche Einwilligungserklärung, und der Satz „Mit Anklicken akzeptiere ich unsere Datenschutzerklärung“ ist in der Regel kein tauglicher Weg, um überhaupt eine Einwilligung einzuholen – eine Datenschutzerklärung ist eine Information, keine Vereinbarung, die man „akzeptiert“.
Unmissverständlich bedeutet: Schweigen ist keine Zustimmung. Der Europäische Gerichtshof hat das in der Entscheidung Planet49 deutlich gemacht – ein bereits angekreuztes Kästchen, das erst abgewählt werden müsste, ist keine wirksame aktive Einwilligung. Auch die Entscheidung Orange România zeigt, wie genau Gerichte hinschauen: Dort ging es um gespeicherte Kopien von Ausweisdokumenten, und der EuGH stellte klar, dass nicht der Betroffene beweisen muss, nicht eingewilligt zu haben, sondern der Verantwortliche eine wirksame Einwilligung nachweisen können muss. Gestaltungen, die eine Ablehnung erschweren oder den Eindruck einer Vertragspflicht erwecken, wurden dabei ausdrücklich beanstandet.
Bei bestimmten Datenarten reicht die einfache Unmissverständlichkeit nicht aus – die DSGVO verlangt eine ausdrückliche Einwilligung, etwa nach Art. 9 Abs. 2 lit. a) DSGVO für besondere Kategorien personenbezogener Daten wie Gesundheitsdaten. Ein Fitnessstudio, das für ein individuelles Trainingsprogramm Gesundheitsdaten erheben möchte, kommt mit einem allgemeinen Kästchen „Ich akzeptiere die Datenschutzbestimmungen“ nicht aus. Aus der Erklärung muss klar hervorgehen, dass ausdrücklich in die Verarbeitung genau dieser Daten zu genau diesem Zweck eingewilligt wird.
Die vier Voraussetzungen einer wirksamen Einwilligung nach Art. 4 Nr. 11 DSGVO: Sie muss freiwillig, für einen bestimmten Zweck, informiert und unmissverständlich erteilt werden.
Muss eine Einwilligung unterschrieben werden?
Ein verbreitetes Missverständnis lautet, eine Einwilligung sei nur mit Unterschrift gültig. Das stimmt so nicht: Sie kann schriftlich, elektronisch und unter Umständen sogar mündlich erteilt werden. Entscheidend ist, dass eine eindeutig bestätigende Handlung vorliegt – und dass der Verantwortliche sie später nachweisen kann, wie es Art. 7 Abs. 1 DSGVO verlangt. Eine telefonische Zusage lässt sich drei Jahre später oft nicht mehr rekonstruieren. Deshalb ist eine dokumentierbare elektronische oder schriftliche Lösung in der Praxis fast immer sinnvoller. Für Newsletter-Anmeldungen hat sich das Double-Opt-in-Verfahren etabliert, bei dem eine Bestätigungs-E-Mail an die angegebene Adresse verschickt wird und erst deren Bestätigung den Newsletter aktiviert – ein pragmatischer Weg, um nachvollziehbar zu dokumentieren, dass tatsächlich über diese Adresse zugestimmt wurde. Wichtig ist dabei: Gespeichert werden sollte nicht nur ein schlichtes „Ja“, sondern auch Zeitpunkt, Zweck und die verwendete Version des Einwilligungstextes – denn im Streitfall muss ein Unternehmen genau nachvollziehen können, worin eine Person eingewilligt hat.
Granularität bei Einwilligungen: Unterschiedliche Verarbeitungszwecke sollten getrennt und freiwillig auswählbar sein. Die Grafik zeigt den Unterschied zwischen einer pauschalen Sammel-Einwilligung und einer zweckbezogenen, transparenten Gestaltung.
Widerruf: der eigentliche Testfall guter Praxis
Eine Einwilligung muss jederzeit und ohne Angabe von Gründen widerrufen werden können, und der Widerruf muss ebenso einfach sein wie die Erteilung. Wer einen Newsletter mit einem Klick abonnieren kann, sollte ihn nicht erst über ein Formular per Post abbestellen müssen. Dass erschwerte Widerrufsprozesse keine Theorie sind, zeigte ein Bußgeld der polnischen Aufsichtsbehörde gegen ein Unternehmen, das den Widerruf durch komplizierte Abläufe erschwert hatte.
Der Widerruf muss dort ankommen, wo die Verarbeitung tatsächlich stattfindet: im Newsletter-System, im CRM, bei eingebundenen Dienstleistern. Ein häufiger und besonders problematischer Gedanke lautet, man könne nach einem Widerruf einfach auf das berechtigte Interesse umsteigen und die Werbung fortsetzen. So funktioniert die Wahl der Rechtsgrundlage nicht – sie muss grundsätzlich vor Beginn der Verarbeitung feststehen, nicht als austauschbare Fassade dienen. Wie teuer eine lückenhafte Umsetzung werden kann, zeigt der Fall der AOK Baden-Württemberg: Obwohl das Unternehmen Schulungen und interne Richtlinien vorgesehen hatte, gelangten Daten von über 500 Gewinnspielteilnehmern ohne gültige Einwilligung in die Werbung. Der Landesbeauftragte für den Datenschutz Baden-Württemberg verhängte deshalb 2020 ein Bußgeld von 1,24 Millionen Euro – wegen unzureichender technischer und organisatorischer Maßnahmen, nicht wegen einer schlecht formulierten Einwilligungserklärung. Die eigentliche Lehre daraus: Eine perfekte Einwilligungserklärung hilft nichts, wenn das dahinterliegende System sie nicht konsequent umsetzt.
Auch beim Zukauf von Adressdaten reicht der Hinweis eines Lieferanten „alle Kontakte sind DSGVO-konform“ nicht aus. Das musste 2025 die Firma SOLOCAL erfahren: Die französische Aufsichtsbehörde CNIL verhängte ein Bußgeld von 900.000 Euro, weil das Unternehmen keine ausreichenden Nachweise für die Einwilligungen zugekaufter Werbekontakte vorlegen konnte und die zugrunde liegenden Formulare zudem als irreführend bewertet wurden. Wer sich auf eine Einwilligung beruft, muss nachvollziehen können, wer wann gegenüber wem in welchen konkreten Zweck eingewilligt hat.
Zwei Sonderthemen: Newsletter-Werbung und Cookies
Bei E-Mail-Werbung reicht die Prüfung von Art. 6 DSGVO allein nicht aus. Zusätzlich gilt § 7 UWG: Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung stellt grundsätzlich eine unzumutbare Belästigung dar, mit einer engen Ausnahme für Bestandskunden unter mehreren kumulativen Voraussetzungen. Eine Maßnahme kann damit selbst dann problematisch sein, wenn datenschutzrechtlich über ein berechtigtes Interesse diskutiert werden könnte.
Bei Webseiten, Tracking und Cookies wird oft übersehen, dass zwei rechtliche Ebenen zu prüfen sind. Für das Speichern von Informationen auf einem Endgerät oder den Zugriff darauf gilt zunächst § 25 TDDDG, der grundsätzlich eine Einwilligung verlangt. Erst danach stellt sich die zweite Frage, auf welcher Rechtsgrundlage die dabei gewonnenen personenbezogenen Daten anschließend verarbeitet werden dürfen – bei Analyse- und Marketing-Tools läuft dies meist ebenfalls auf eine Einwilligung hinaus. Technisch bedeutet das: Vor der Einwilligung dürfen einwilligungsabhängige Verarbeitungen nicht bereits starten, nach einer Ablehnung erst recht nicht, und nach einem Widerruf müssen sie enden. Ein optisch ansprechendes Cookie-Banner hilft wenig, wenn die Verbindung schon eine Sekunde vor dem Klick aufgebaut wurde – deshalb lohnt sich eine technische Überprüfung nicht nur bei der Ersteinrichtung, sondern auch nach jedem Update von Plugins oder Consent-Tools.
Minderjährige: eine oft überschätzte Altersgrenze
Art. 8 DSGVO enthält eine besondere Regel für Kinder, die aber nicht pauschal für jede Datenverarbeitung Minderjähriger gilt. Sie betrifft ausschließlich Angebote von Diensten der Informationsgesellschaft, die einem Kind direkt gemacht werden und bei denen die Verarbeitung auf eine Einwilligung gestützt wird – etwa eine Social-Media-App oder ein Onlinespiel, das sich gezielt an Kinder richtet. Die Altersgrenze liegt dabei grundsätzlich bei 16 Jahren, wobei Mitgliedstaaten sie bis auf 13 Jahre absenken können. Unterhalb dieser Grenze ist die Einwilligung der Eltern erforderlich, deren Überprüfung angemessene Anstrengungen verlangt. Außerhalb dieses engen digitalen Anwendungsbereichs – etwa bei einem Foto eines minderjährigen Auszubildenden auf der Unternehmenswebseite – gilt Art. 8 DSGVO nicht automatisch. Hier kommt es stattdessen auf die konkrete Einsichtsfähigkeit und die allgemeinen Regeln zur Geschäftsfähigkeit an. Wer daraus den Schluss zieht, ein Minderjähriger könne grundsätzlich nie selbst wirksam einwilligen, liegt falsch.
Zusammenfassung
Art. 6 Abs. 1 lit. a) DSGVO ist eine ausgesprochen nützliche Rechtsgrundlage – aber keine universelle Absicherung für Verarbeitungen, für die sich sonst keine Begründung finden lässt. Eine wirksame Einwilligung setzt echte Entscheidungsfreiheit voraus, einen konkret feststehenden Zweck, verständliche Information und eine eindeutige Zustimmung. Das Unternehmen muss sie nachweisen können und einen jederzeitigen, ebenso einfachen Widerruf ermöglichen.
In der Praxis scheitern Einwilligungen selten an komplizierten juristischen Feinheiten, sondern an einfachen organisatorischen Lücken: vorausgewählte Kästchen, ein Widerrufsprozess, der zwar auf dem Papier existiert, aber technisch nicht funktioniert, oder eine Marketing-Liste, die nie mit dem zentralen Einwilligungsstatus abgeglichen wird. Wer die Formulierung des Einwilligungstextes klärt, aber den dahinterliegenden Prozess vernachlässigt, hat nur die halbe Arbeit gemacht. Genau deshalb lohnt sich der Blick auf den gesamten Ablauf: von der Frage, ob eine Einwilligung überhaupt die richtige Grundlage ist, über eine präzise Zweckbeschreibung und eine nachweisbare Dokumentation bis hin zu einem Widerrufsprozess, der tatsächlich in allen beteiligten Systemen ankommt. Ist dieser Ablauf sauber organisiert, wird aus der Einwilligung keine bürokratische Last, sondern das, was sie nach der DSGVO sein soll: eine nachvollziehbare und tatsächlich respektierte Entscheidung der betroffenen Person über eine konkrete Verarbeitung ihrer Daten.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
