Kurz gesagt: Eine Einwilligung ist eine freiwillige, für den bestimmten Fall, informiert und unmissverständlich abgegebene Willensbekundung, mit der die Person der Verarbeitung ihrer Daten zustimmt. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Schweigen, Untätigkeit oder vorangekreuzte Kästchen sind keine Einwilligung.
Viele glauben, Datenschutz funktioniere nur mit Unterschrift. Das stimmt nicht. Die Einwilligung ist nur eine von sechs Rechtsgrundlagen in Art. 6 DSGVO, und im Sicherheitsdienst ist sie oft nicht die passende. Trotzdem fragt die Prüfung sie gern ab, weil ihre Voraussetzungen klar geregelt und leicht zu verwechseln sind. Und sie wird praktisch, sobald es um Fotos, freiwillige Zusatzsysteme oder Daten von Kollegen geht.
Was im Gesetz steht
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung ihrer Daten einverstanden ist.
Art. 7 DSGVO ergänzt die Bedingungen: Der Verantwortliche muss die Einwilligung nachweisen können. Steht sie in einem Schriftstück mit anderen Inhalten, muss sie klar abgehoben, verständlich und in einfacher Sprache formuliert sein. Sie ist jederzeit widerrufbar. Und bei der Frage der Freiwilligkeit ist zu berücksichtigen, ob ein Vertrag davon abhängig gemacht wird.
Die Voraussetzungen
Freiwillig
Die Person muss eine echte Wahl haben und ohne Nachteile Nein sagen können. Daran fehlt es oft, wenn ein klares Machtgefälle besteht. Erwägungsgrund 43 nennt das Beispiel der Behörde gegenüber dem Bürger. Ähnlich kritisch ist das Arbeitsverhältnis. Nach Paragraf 26 Absatz 2 BDSG sind bei Beschäftigten die Abhängigkeit und die Umstände der Erteilung zu berücksichtigen. Freiwilligkeit kann vor allem dann vorliegen, wenn der Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil hat oder Arbeitgeber und Beschäftigter gleichgelagerte Interessen verfolgen.
Kopplungsverbot
Wird die Erfüllung eines Vertrags von einer Einwilligung in Datenverarbeitungen abhängig gemacht, die für den Vertrag gar nicht nötig sind, spricht das nach Art. 7 Abs. 4 gegen die Freiwilligkeit. Ein Beispiel: Ein Ticket gibt es nur, wenn man zugleich in Werbe-E-Mails einwilligt.
Für den bestimmten Fall
Die Einwilligung muss sich auf einen oder mehrere klar bestimmte Zwecke beziehen. Eine Pauschaleinwilligung "in alle Datenverarbeitungen" ist unwirksam.
Informiert
Die Person muss wissen, wer die Daten verarbeitet und wofür. Sie muss außerdem vor der Abgabe auf ihr Widerrufsrecht hingewiesen werden.
Unmissverständlich
Nötig ist eine Erklärung oder eine eindeutige bestätigende Handlung, etwa das Anklicken eines leeren Kästchens. Erwägungsgrund 32 stellt klar: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sind keine Einwilligung. Das hat auch der Europäische Gerichtshof 2019 für vorausgewählte Kästchen bestätigt.
Form und Nachweis
Die DSGVO schreibt keine bestimmte Form vor. Auch eine mündliche Einwilligung kann wirksam sein. Weil der Verantwortliche sie aber nachweisen muss, wird sie in der Praxis schriftlich oder elektronisch eingeholt. Für Beschäftigte verlangt Paragraf 26 Absatz 2 BDSG ausdrücklich die Schriftform oder die elektronische Form, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Arbeitgeber muss außerdem in Textform über den Zweck und das Widerrufsrecht aufklären.
Besondere Fälle
- Besondere Kategorien: Bei Gesundheitsdaten, biometrischen Daten oder Religion muss die Einwilligung nach Art. 9 Abs. 2 Buchstabe a ausdrücklich sein.
- Kinder und Online-Dienste: Bietet ein Unternehmen einem Kind direkt einen Online-Dienst an und stützt sich auf eine Einwilligung, ist diese nach Art. 8 DSGVO erst ab 16 Jahren wirksam. Darunter müssen die Eltern zustimmen. Die Mitgliedstaaten dürfen die Grenze bis auf 13 Jahre senken, Deutschland hat das nicht getan.
Der Widerruf
Die Person kann ihre Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit widerrufen. Der Widerruf muss so einfach sein wie die Erteilung. Er wirkt nur für die Zukunft: Was bis dahin rechtmäßig verarbeitet wurde, bleibt rechtmäßig. Ab dem Widerruf darf auf die Einwilligung nichts mehr gestützt werden. Das ist der Grund, warum Einwilligungen für dauerhaft nötige Sicherheitsmaßnahmen ungeeignet sind.
Ein Fall aus dem Dienst
An einem Firmengelände hängt ein Schild: "Mit dem Betreten erklären Sie sich mit der Videoüberwachung einverstanden." Dein Kollege sagt, damit sei alles geregelt.
Das ist nach ganz überwiegender Ansicht falsch. Das bloße Betreten ist keine eindeutige bestätigende Handlung, und wer zur Arbeit oder zu einem Termin muss, hat keine echte Wahl. Die Videoüberwachung braucht deshalb eine andere Grundlage, in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 Buchstabe f. Das Hinweisschild dient der Information, nicht der Einwilligung. Anders ist es beim Teamfoto für die Firmenwebsite: Hier ist die Einwilligung jedes einzelnen Kollegen der richtige Weg, und wer nicht aufs Foto will, darf keine Nachteile haben.
Typische Prüfungsfallen
- Schweigen, Untätigkeit und vorangekreuzte Kästchen sind keine Einwilligung.
- Der Widerruf ist jederzeit möglich und wirkt nur für die Zukunft.
- Die DSGVO verlangt keine Schriftform, bei Beschäftigten verlangt Paragraf 26 BDSG sie aber grundsätzlich.
- Betreten trotz Kameraschild ist keine Einwilligung in die Videoüberwachung.
- Die Einwilligung ist nicht die wichtigste Rechtsgrundlage, sondern eine von sechs gleichrangigen.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Merkmale muss eine wirksame Einwilligung nach Art. 4 Nr. 11 DSGVO haben?
Ein Besucher widerruft seine Einwilligung in die Speicherung seines Fotos. Was gilt für die bisherige Verarbeitung?
Am Eingang hängt ein Schild: Mit dem Betreten willigen Sie in die Videoüberwachung ein. Was trifft zu?
Was gilt für die Einwilligung von Beschäftigten nach §26 Abs. 2 BDSG?
Ab welchem Alter kann ein Kind nach Art. 8 DSGVO in Deutschland selbst wirksam in die Verarbeitung durch einen Online-Dienst einwilligen?
Was gilt für Einwilligungen in die Verarbeitung von Gesundheitsdaten?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 7 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.