Die Einwilligung ist im Datenschutzrecht eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der eine Person zu verstehen gibt, dass sie mit der Verarbeitung ihrer personenbezogenen Daten einverstanden ist.
Auf einen Blick
Die Definition in Art. 4 Nr. 11 DSGVO nennt eine Erklärung oder eine sonstige eindeutige bestätigende Handlung als mögliche Form der Willensbekundung.
Das Verbot des Art. 9 Abs. 1 DSGVO für besondere Kategorien personenbezogener Daten gilt nach Art. 9 Abs. 2 DSGVO unter anderem nicht, wenn die betroffene Person für festgelegte Zwecke ausdrücklich eingewilligt hat, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot durch die Einwilligung nicht aufgehoben werden.
Beruht die Verarbeitung bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, auf einer Einwilligung, ist sie nach Art. 8 DSGVO vor dem vollendeten sechzehnten Lebensjahr nur rechtmäßig, sofern und soweit der Träger der elterlichen Verantwortung einwilligt oder zustimmt; die Mitgliedstaaten können eine niedrigere Altersgrenze vorsehen, die nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf.
Was ist eine Einwilligung?
Die Einwilligung gehört zu den sechs Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO, von denen mindestens eine erfüllt sein muss, damit eine Verarbeitung rechtmäßig ist. Laut BfDI ist dafür ein aktives Verhalten notwendig; vorausgefüllte Kästchen oder die bloße Weiternutzung eines Dienstes genügen ebenso wenig wie das Scrollen durch eine Website, und ein vorformulierter Einwilligungstext, der nicht durchgestrichen wird, stellt keine aktive Willensbekundung dar. Ausreichend ist laut Datenschutzkonferenz beispielsweise eine einfache E-Mail oder das Anklicken eines Kästchens auf einem Online-Formular. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person eingewilligt hat.
Stützt ein Versicherer eine Datenverarbeitung auf die Einwilligung, muss die betroffene Person für den bestimmten Fall freiwillig, informiert und unmissverständlich zugestimmt haben. Die betroffene Person hat nach Art. 7 Abs. 3 DSGVO das Recht, ihre Einwilligung jederzeit zu widerrufen; der Widerruf muss so einfach wie die Erteilung sein und berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Laut BfDI ist für die Einwilligung eine bestimmte Form nicht vorgeschrieben, auch nicht die Schriftform. Für Beschäftigte hat sie dagegen nach § 26 BDSG schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.
Wie wird eine Einwilligung erteilt?
Eine Einwilligung wird für einen oder mehrere bestimmte Zwecke gegeben und muss die Voraussetzungen des Art. 4 Nr. 11 und des Art. 7 DSGVO erfüllen. Laut BfDI muss die betroffene Person eine echte und freie Wahl haben und die Einwilligung jederzeit ohne Nachteile verweigern oder zurückziehen können. Nach Erwägungsgrund 43 DSGVO sollte die Einwilligung in besonderen Fällen keine gültige Rechtsgrundlage liefern, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht und es deshalb in Anbetracht aller Umstände unwahrscheinlich ist, dass sie freiwillig gegeben wurde. Bei der Beurteilung der Freiwilligkeit muss nach Art. 7 Abs. 4 DSGVO in größtmöglichem Umfang berücksichtigt werden, ob unter anderem die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung abhängig ist, die für die Vertragserfüllung nicht erforderlich ist.
Weil der Verantwortliche die Einwilligung nachweisen können muss, ist laut BfDI eine Form zu wählen, die eine Dokumentation ermöglicht. Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, ist die ausdrückliche Einwilligung für festgelegte Zwecke nach Art. 9 Abs. 2 DSGVO einer der Fälle, in denen das Verbot des Absatzes 1 nicht gilt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot durch die Einwilligung nicht aufgehoben werden.
Woran erkenne ich eine wirksame Einwilligung?
| Voraussetzung | Was das bedeutet |
|---|---|
| Freiwilligkeit | Die betroffene Person hat eine echte und freie Wahl und kann die Einwilligung jederzeit ohne Nachteile verweigern oder zurückziehen. |
| Information | Die betroffene Person weiß, wer der Verantwortliche ist und zu welchen Zwecken ihre personenbezogenen Daten verarbeitet werden sollen. |
| Bestimmter Zweck | Die Einwilligung wird für den bestimmten Fall beziehungsweise für einen oder mehrere bestimmte Zwecke abgegeben. |
| Eindeutige Handlung | Erforderlich ist eine Erklärung oder eine sonstige eindeutige bestätigende Handlung; vorausgefüllte Kästchen genügen nicht. |
| Nachweis | Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (Art. 7 Abs. 1 DSGVO). |
Welche Pflichten gelten bei einer Einwilligung?
Vorbeugen
- Nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Art. 7 Abs. 1 DSGVO).
- Ein Ersuchen um Einwilligung, das in einer schriftlichen Erklärung mit anderen Sachverhalten steht, in verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache so gestalten, dass es von den anderen Sachverhalten klar zu unterscheiden ist (Art. 7 Abs. 2 DSGVO).
- Die betroffene Person vor Abgabe der Einwilligung vom Widerrufsrecht in Kenntnis setzen und den Widerruf so einfach wie die Erteilung gestalten (Art. 7 Abs. 3 DSGVO). Widerruft die betroffene Person ihre Einwilligung und fehlt es an einer anderweitigen Rechtsgrundlage für die Verarbeitung, besteht ein Löschungsgrund nach Art. 17 Abs. 1 Buchstabe b DSGVO.
- Bei der Beurteilung der Freiwilligkeit berücksichtigen, ob unter anderem die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist (Art. 7 Abs. 4 DSGVO).
Beispiele aus der Praxis
- Will ein Webshop Informationen in der Endeinrichtung des Nutzers speichern oder darauf zugreifen, ist das nach § 25 TDDDG nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat, außer in den Fällen des § 25 Abs. 2 TDDDG, in denen die Einwilligung nicht erforderlich ist.
- Stützt ein Arbeitgeber die Verarbeitung von Beschäftigtendaten auf eine Einwilligung, sind nach § 26 BDSG für die Beurteilung der Freiwilligkeit unter anderem die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände der Erteilung zu berücksichtigen. Freiwilligkeit kann nach § 26 Abs. 2 BDSG insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.
- Verarbeitet ein Versicherer Gesundheitsdaten, kann das Verbot des Art. 9 Abs. 1 DSGVO durch eine ausdrückliche Einwilligung der betroffenen Person für festgelegte Zwecke aufgehoben werden, es sei denn, Unionsrecht oder das Recht der Mitgliedstaaten schließt das aus.
