Opt-in bezeichnet ein Verfahren, bei dem eine Person ihre Zustimmung selbst durch eine aktive Handlung erteilt, etwa durch das Anklicken eines Kästchens, und nicht bloß durch Stillschweigen oder Untätigkeit.
Auf einen Blick
Nach Erwägungsgrund 32 DSGVO sollte die Einwilligung durch eine eindeutige bestätigende Handlung erfolgen.
Speicherung von oder Zugriff auf Informationen im Endgerät sind nach § 25 Abs. 1 TDDDG nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat, es sei denn, nach § 25 Abs. 2 TDDDG ist die Einwilligung nicht erforderlich.
Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person eingewilligt hat.
Was ist Opt-in?
Opt-in beschreibt den Weg, auf dem eine Zustimmung zustande kommt: Die betroffene Person handelt dafür aktiv. Der Begriff Opt-in steht nicht in der DSGVO; die Einwilligung definiert Art. 4 Nr. 11 DSGVO, Erwägungsgrund 32 erläutert sie. Nach Erwägungsgrund 32 DSGVO sollte die Einwilligung durch eine eindeutige bestätigende Handlung erfolgen, die etwa im Anklicken eines Kästchens beim Besuch einer Internetseite oder in der Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft bestehen kann.
Stützt ein Versicherer den Newsletter-Versand auf eine Opt-in-Einwilligung im Online-Antrag, zählt ein bereits angekreuztes Kästchen nicht: Nach Erwägungsgrund 32 DSGVO sollten Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen. Davon unabhängig gilt für das Endgerät des Endnutzers eine eigene Regel: Die Speicherung von Informationen darin oder der Zugriff auf bereits gespeicherte Informationen ist nach § 25 Abs. 1 TDDDG nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat; die Einwilligung ist nach § 25 Abs. 2 TDDDG unter anderem nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Wie funktioniert Opt-in?
Beim Opt-in setzt die Person die Zustimmung selbst, etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite oder durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person eingewilligt hat. Die betroffene Person hat nach Art. 7 Abs. 3 DSGVO das Recht, ihre Einwilligung jederzeit zu widerrufen, und der Widerruf muss so einfach wie die Erteilung sein.
Die Datenschutzkonferenz hält in ihrer Orientierungshilfe Digitale Dienste fest, dass Informationen auf Endgeräten, soweit eine Einwilligung erforderlich ist, erst gespeichert oder ausgelesen werden dürfen, wenn Nutzer ihre Einwilligung durch eine aktive Handlung abgegeben haben, zum Beispiel durch das Setzen von Häkchen im Einwilligungsbanner oder den Klick auf eine Schaltfläche. Nach der Darstellung des BfDI ist ein aktives Verhalten notwendig; vorausgefüllte Kästchen oder die bloße Weiternutzung eines Dienstes genügen ebenso wenig wie das Scrollen durch eine Website.
Opt-in im Vergleich
| Kriterium | Opt-in | Einwilligung | Opt-out | Double-Opt-in |
|---|---|---|---|---|
| Einordnung | Verfahren, in dem die Zustimmung durch eine aktive Handlung zustande kommt | Rechtsbegriff: Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung (Art. 4 Nr. 11 DSGVO) | Von der Datenschutzkonferenz als „Opt-Out-Lösungen“ bezeichnet, wenn Stillschweigen, bereits als Voreinstellung angeklickte Kästchen oder Untätigkeit vorliegen | Verfahren mit nochmaliger Bestätigung nach dem Überlassen der Kontaktdaten (BfDI) |
| Wirkung als Einwilligung | Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen (Erwägungsgrund 32 DSGVO) | Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche sie nachweisen können (Art. 7 Abs. 1 DSGVO) | Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sollten keine Einwilligung darstellen (Erwägungsgrund 32 DSGVO) | Nach dem BfDI bei Newsletter-Werbung ein doppelter Einwilligungs-Nachweis |
| Rechtsquelle | Der Begriff steht nicht in der DSGVO; für Informationen im Endgerät gilt § 25 Abs. 1 TDDDG, Ausnahmen nennt Absatz 2 | Eine von mehreren Bedingungen, von denen mindestens eine erfüllt sein muss (Art. 6 Abs. 1 DSGVO) | Nach der Datenschutzkonferenz keine Einwilligung | Nach dem BfDI bei Newsletter-Werbung notwendig; der BfDI verweist ergänzend („siehe auch“) auf § 7 Abs. 3 UWG |
Woran erkenne ich ein gültiges Opt-in?
| Merkmal | Worauf es ankommt |
|---|---|
| Aktive Handlung | Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite. |
| Kein Stillschweigen | Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten keine Einwilligung darstellen. |
| Inhalt der Handlung | Mit der Handlung sollte freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet werden, dass die betroffene Person mit der Verarbeitung einverstanden ist. |
| Speicherung und Zugriff im Endgerät | Speicherung von oder Zugriff auf Informationen im Endgerät sind nach § 25 Abs. 1 TDDDG nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; Ausnahmen nennt Absatz 2. |
Schutz im Ernstfall
Vorbeugen
- Die Einwilligung durch eine eindeutige bestätigende Handlung einholen, etwa durch Anklicken eines Kästchens; nach Erwägungsgrund 32 DSGVO sollte sie so erfolgen.
- Kein bereits angekreuztes Kästchen vorsehen: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sollten nach Erwägungsgrund 32 DSGVO keine Einwilligung darstellen.
- Vor der Speicherung von oder dem Zugriff auf Informationen im Endgerät die Einwilligung auf der Grundlage klarer und umfassender Informationen einholen (§ 25 Abs. 1 TDDDG); Ausnahmen nennt Absatz 2, unter anderem bei unbedingt erforderlicher Speicherung oder unbedingt erforderlichem Zugriff für einen vom Nutzer ausdrücklich gewünschten digitalen Dienst.
- Beruht die Verarbeitung auf einer Einwilligung, den Nachweis der Einwilligung führen können (Art. 7 Abs. 1 DSGVO); will ein Verantwortlicher mit dem Newsletter Werbung ausspielen, ist nach dem BfDI ein doppelter Einwilligungs-Nachweis (Double-Opt-in-Verfahren) notwendig.
Beispiele aus der Praxis
- Ein Formular enthält ein fakultatives Kästchen mit der Bezeichnung „Ich willige ein“; durch aktives Anklicken kann der Nutzer auf gültige Weise eine eindeutig bestätigende Handlung ausführen.
- Ein Einwilligungsbanner bietet Häkchen oder eine Schaltfläche an; nach der Orientierungshilfe Digitale Dienste der Datenschutzkonferenz dürfen Informationen auf dem Endgerät, soweit keine Ausnahme nach § 25 Abs. 2 TDDDG greift, erst gespeichert oder ausgelesen werden, wenn Nutzer durch eine aktive Handlung eingewilligt haben.
- Nach der Eingabe der Kontaktdaten für einen Newsletter betätigt die empfangende Person einen Link in der E-Mail oder antwortet auf sie; der BfDI nennt dieses Double-Opt-in-Verfahren einen doppelten Einwilligungs-Nachweis bei Newsletter-Werbung.
- Ein Versicherer bietet im Online-Antrag ein bereits angekreuztes Kästchen für den Newsletter-Versand an; nach Erwägungsgrund 32 DSGVO sollten bereits angekreuzte Kästchen keine Einwilligung darstellen.
