Die Einwilligungserklärung ist die Erklärung, in der eine betroffene Person ihre Einwilligung in die Verarbeitung der sie betreffenden personenbezogenen Daten bekundet, eine der in der DSGVO genannten Formen der Einwilligung.
Auf einen Blick
Als Erklärung kommen nach Erwägungsgrund 32 etwa eine schriftliche Erklärung, die auch elektronisch erfolgen kann, oder eine mündliche Erklärung in Betracht.
Bei besonderen Kategorien personenbezogener Daten gilt das Verbot nach Art. 9 Abs. 1 DSGVO unter anderem nicht, wenn die betroffene Person für festgelegte Zwecke ausdrücklich eingewilligt hat, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot durch die Einwilligung nicht aufgehoben werden.
Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen; der Widerruf muss so einfach wie die Erteilung sein.
Was ist eine Einwilligungserklärung?
Mit der Einwilligungserklärung bekundet eine betroffene Person ihre Einwilligung in Form einer Erklärung; die DSGVO nennt daneben die sonstige eindeutige bestätigende Handlung als weitere Form. Als Einwilligung zählt nach Art. 4 Nr. 11 DSGVO eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Bei der Beurteilung, ob eine Einwilligung freiwillig erteilt wurde, muss nach Art. 7 Abs. 4 DSGVO dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
Holt ein Versicherer im Antragsformular eine schriftliche Einwilligungserklärung ein, die noch andere Sachverhalte betrifft, muss das Ersuchen um Einwilligung von den anderen Sachverhalten klar zu unterscheiden sein, in verständlicher und leicht zugänglicher Form und in klarer und einfacher Sprache (Art. 7 Abs. 2 DSGVO). Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen die DSGVO darstellen.
Wie funktioniert eine Einwilligungserklärung?
Die Einwilligungserklärung knüpft an einen oder mehrere bestimmte Zwecke an, für die die betroffene Person ihre Einwilligung gegeben hat. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Art. 7 Abs. 1 DSGVO).
Nach den Erwägungsgründen gilt die Einwilligung nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist. Eine vom Verantwortlichen vorformulierte Einwilligungserklärung sollte nach den Erwägungsgründen in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden und keine missbräuchlichen Klauseln beinhalten. Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen; durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt, und die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt (Art. 7 Abs. 3 DSGVO).
Einwilligungserklärung im Vergleich
| Kriterium | Einwilligungserklärung | Einwilligung |
|---|---|---|
| Was es ist | die Erklärung, in der die betroffene Person ihre Einwilligung bekundet; eine der Formen nach Art. 4 Nr. 11 DSGVO | die freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist |
| Form | Erwägungsgrund 32 nennt etwa eine schriftliche Erklärung, die auch elektronisch erfolgen kann, oder eine mündliche Erklärung | kann nach Art. 4 Nr. 11 DSGVO in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erfolgen |
| Besondere Anforderung | Betrifft eine schriftliche Erklärung noch andere Sachverhalte, muss das Ersuchen um Einwilligung von diesen klar zu unterscheiden sein (Art. 7 Abs. 2 DSGVO) | Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (Art. 7 Abs. 1 DSGVO) |
Woran erkenne ich eine wirksame Einwilligungserklärung?
| Voraussetzung | Was das bedeutet |
|---|---|
| Willensbekundung | Art. 4 Nr. 11 DSGVO verlangt eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. |
| Klare Abgrenzung | Betrifft eine schriftliche Erklärung noch andere Sachverhalte, muss das Ersuchen um Einwilligung von diesen Sachverhalten klar zu unterscheiden sein (Art. 7 Abs. 2 DSGVO); Teile der Erklärung sind nicht verbindlich, wenn sie einen Verstoß gegen die DSGVO darstellen. |
| Freiwilligkeit | Bei der Beurteilung muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind (Art. 7 Abs. 4 DSGVO). |
| Widerruf | Der Widerruf muss so einfach wie die Erteilung sein (Art. 7 Abs. 3 DSGVO); die aufgrund der Einwilligung bis zum Widerruf erfolgte Verarbeitung bleibt in ihrer Rechtmäßigkeit unberührt. |
| Eindeutige Handlung | Nach Erwägungsgrund 32 sollte die Einwilligung durch eine eindeutige bestätigende Handlung erfolgen; bereits angekreuzte Kästchen sollten keine Einwilligung darstellen. |
Schutz im Ernstfall
Vorbeugen
- Der Verantwortliche muss die Einwilligung nachweisen können, wenn die Verarbeitung auf ihr beruht (Art. 7 Abs. 1 DSGVO).
- Das Ersuchen um Einwilligung von anderen Sachverhalten klar unterscheidbar halten, wenn eine schriftliche Erklärung noch andere Sachverhalte betrifft; es muss in verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache erfolgen (Art. 7 Abs. 2 DSGVO).
- Die betroffene Person vor Abgabe der Einwilligung von ihrem Recht in Kenntnis setzen, die Einwilligung jederzeit zu widerrufen, und den Widerruf so einfach gestalten wie die Erteilung (Art. 7 Abs. 3 DSGVO).
- Bei der Beurteilung der Freiwilligkeit unter anderem prüfen, ob die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist; diesem Umstand ist in größtmöglichem Umfang Rechnung zu tragen (Art. 7 Abs. 4 DSGVO).
Beispiele aus der Praxis
- Ein Online-Shop holt bei der Registrierung eine gesonderte Einwilligung für die Nutzung der E-Mail-Adresse zu Marketingzwecken ein, statt sie mit der Registrierung zu verbinden.
- Eine Banking-App holt die Einwilligung für einen festgelegten Zweck ein und bietet den Widerruf so einfach an wie die Erteilung.
- Ein Einwilligungsverwaltungssystem führt Aufzeichnungen über erhaltene Einwilligungserklärungen, sodass der Verantwortliche nachweisen kann, dass er eine Einwilligung erhalten hat und zu welchem Zeitpunkt er sie erhalten hat; beruht die Verarbeitung auf einer Einwilligung, muss er nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person eingewilligt hat.
- Ein Versicherer gestaltet im schriftlichen Antragsformular das Ersuchen um Einwilligung so, dass es von den übrigen Sachverhalten des Antrags klar zu unterscheiden ist.
