Kurzpapier Nr. 20
Einwilligung nach der DS-GVO
Dieses Kurzpapier der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK)
dient als Orientierung insbesondere für den nicht-öffentlichen Bereich, wie nach Auffassung der DSK die DatenschutzGrundverordnung (DS-GVO) im praktischen Vollzug angewendet werden sollte. Diese Auffassung dient als Zusammenfassung bzw. Ergänzung der Leitlinien zur Einwilligung des Europäischen Datenschutzausschusses (WP 259 rev.01 „Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/679“).

Voraussetzungen und Unterschiede zu dem biszum 24. Mai 2018 geltenden Recht
Auch unter Geltung der DS-GVO ist die Einwilligung
eine zentrale Rechtsgrundlage für die Verarbeitung
personenbezogener Daten. Allgemeine Regelungendazu lassen sich nunmehr nicht mehr dem Bundesdatenschutzgesetz (BDSG) entnehmen, sondern
unmittelbar der DS-GVO (Art. 4 Nr. 11, Art. 7). Eine
Einwilligung ist danach nur wirksam, wenn sie freiwillig und - bezogen auf einen bestimmten Fall informiert abgegeben wird. Die Schriftform ist nicht
erforderlich; ausreichend ist vielmehr eine unmissverständlich abgegebene Willensbekundung in
Form einer Erklärung oder sonstigen eindeutigen
bestätigenden Handlung, durch die die betroffene
Person ihr Einverständnis zur Datenverarbeitung
unmissverständlich erteilt. Die bestätigende Handlung kann bei Vorliegen dieser Voraussetzungenauch elektronisch, durch „Anklicken“ eines Feldes
im Internet, oder auch mündlich erfolgen. Bei derWahl der geeigneten Form ist zu beachten, dass der
Verantwortliche die Erteilung der Einwilligung
nachweisen können muss (s.u.).
Aus Erwägungsgrund (ErwGr.) 32 der DS-GVO ist
ersichtlich, dass Stillschweigen, bereits angeklickteKästchen oder Untätigkeit der betroffenen Person
keine Einwilligung darstellen. Ebensowenig gilt diesnach Auffassung des Europäischen Datenschutzausschusses für die einfache Weiternutzung eines Services. Für die Erteilung von Einwilligungen ist vielmehr ein aktives Verhalten der betroffenen Personen erforderlich. Anders als nach der bisher ergangenen Rechtsprechung (BGH, Urt. v. 16.07.2008, VIIIZR 348/06; BGH, Urt. v. 11.11.2009, VIII ZR 12/08)
Einwilligung nach der DS-GVO

reicht es nun nicht mehr aus, die betroffenen Personen auf Vertragsklauseln zu verweisen, welche
fiktiv erteilte Erklärungen enthalten und bei denen
es als wirksame Einwilligung gewertet wurde, wennein vorformulierter Einwilligungstext nicht durchgestrichen wurde oder ein Kreuz zur Nichterteilung
einer Einwilligung nicht gesetzt wurde.
Besonderes Augenmerk ist nach der DatenschutzGrundverordnung auf die Freiwilligkeit einer Einwilligung zu richten. Es kann nur dann davon ausgegangen werden, dass eine betroffene Person ihre
Einwilligung freiwillig gegeben hat, wenn sie eine
echte und freie Wahl hat, also in der Lage ist, die
Einwilligung zu verweigern oder zurückzuziehen,ohne Nachteile zu erleiden (siehe ErwGr. 42). Diesist beispielsweise in aller Regel nicht der Fall, wenn
die Erfüllung eines Vertrages von einer Einwilligung
in eine Datenverarbeitung abhängig gemacht wird,
die für die Erfüllung des Vertrages nicht erforderlichist (Art. 7 Abs. 4 i.V.m. ErwGr. 43 DS-GVO, sogenanntes Koppelungsverbot). Zudem liefert eine
Einwilligung regelmäßig keine gültige Rechtsgrundlage, wenn zwischen der betroffenen Person unddem Verantwortlichen ein klares Ungleichgewicht
besteht, und es deshalb unwahrscheinlich ist, dassdie Einwilligung freiwillig gegeben wurde. Diesergibt sich ebenfalls aus ErwGr. 43.
Die Einwilligung hat in informierter Weise zu erfolgen. In ErwGr. 42 der DS-GVO wird insbesondere
darauf abgestellt, dass eine vom Verantwortlichen
vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren

Stand: 22.02.19

Seite 1und einfachen Sprache zur Verfügung gestellt wird,
keine missverständlichen Klauseln enthalten sindund die betroffene Person mindestens darüber informiert wird, wer der Verantwortliche ist und zu
welchen Zwecken ihre personenbezogenen Datenverarbeitet werden sollen. Darüber hinaus ist diebetroffene Person nach Auffassung des Europäischen Datenschutzausschusses über die Art derverarbeiteten Daten, über ihr Recht, die Einwilligung jederzeit zu widerrufen, ggf. über die Verwendung der Daten für eine automatisierte Entscheidungsfindung und über mögliche Risiken vonDatenübermittlungen in Drittländer ohne Vorliegeneines Angemessenheitsbeschlusses und ohne geeignete Garantien nach Artikel 46 DS-GVO zu informieren.
Den Verantwortlichen trifft nach Art. 7 Abs. 1 DSGVO eine ausdrückliche Verpflichtung, die Erteilung
der Einwilligung nachweisen zu können. Diese Verpflichtung steht mit der in Art. 5 Abs. 2 DS-GVO
geregelten Rechenschaftspflicht im Zusammenhang.
Dies gilt nicht nur im Sinne einer Beweislastregel,wenn das Vorliegen einer Einwilligung bestritten
wird, sondern ganz allgemein. Auch bei Kontrollen
der Aufsichtsbehörden muss daher der Nachweisüber erteilte Einwilligungen erbracht werden können. Wird die Einwilligung elektronisch erteilt, somuss der Verantwortliche sicherstellen, dass dieEinwilligung protokolliert wird. Nicht ausreichend
ist es etwa, wenn lediglich auf die ordnungsgemäße
Gestaltung der entsprechenden Webseite verwiesen wird, ohne im Einzelfall den Nachweis der tatsächlich erteilten Einwilligung zu erbringen. Der
Verantwortliche hat durch geeignete technischeund organisatorische Maßnahmen dafür Sorge zu
tragen, dass die Datenschutzgrundsätze, insbesondere die Rechenschaftspflicht, umgesetzt werden.
Hierzu muss er technische Systeme einsetzen, dieeinen Datenschutz durch Technikgestaltung unddurch datenschutzfreundliche Voreinstellungenermöglichen.

Wirkung für die Zukunft. Auf die Einwilligung gestützte Verarbeitungsvorgänge in der Vergangenheit bleiben also rechtmäßig. Auf die Widerruflichkeit der Einwilligung muss der Verantwortliche vor
Abgabe der Einwilligung hinweisen. Der Widerruf
der Einwilligung muss so einfach wie die Erteilung
sein.
Fortgeltung von Einwilligungen
Vor Anwendbarkeit der DS-GVO erteilte Einwilligungen wirken nach ErwGr. 171 der DS-GVO fort,
sofern sie der Art nach den Bedingungen der DSGVO entsprechen. Hierzu zählen insbesondere folgende Punkte:
Die Erteilung einer wirksamen Einwilligungmuss gem. Art. 7 Abs. 1 DS-GVO nachgewiesen
werden können, was eine entsprechende Dokumentation voraussetzt.

Die Einwilligung muss freiwillig abgegeben worden sein (Art. 4 Nr. 11 DS-GVO), wobei die besonderen Anforderungen nach Art. 7 Abs. 4DSGVO i. V. m. ErwGr. 43 DS-GVO zu beachtensind.

Erforderlich ist eine Willensbekundung für den
bestimmten Fall, in informierter Weise und inunmissverständlicher Form (Art. 4 Nr. 11 DSGVO), wobei die Anforderungen nach Art. 7 Abs.
2 DSGVO i. V. m. ErwGr. 32 und 42 DS-GVO zu
beachten sind.

Der Verantwortliche muss Mechanismen bereithalten, die den Widerruf der Einwilligung
ermöglichen und Informationen bereithalten,
wie die Einwilligung widerrufen werden kann.



Im Falle der Einwilligung durch ein Kind in Bezug
auf Dienste der Informationsgesellschaft müssen die Voraussetzungen nach Art. 8 DS-GVO
vorliegen.

Die betroffene Person hat das Recht, die Einwilligung jederzeit zu widerrufen. Der Widerruf gilt mit
Einwilligung nach der DS-GVO

Stand: 22.02.19

Seite 2Sind die obigen Bedingungen nicht erfüllt, geltenbisher erteilte Einwilligungen nicht fort.
Die betroffene Person muss darüber hinaus zum
Zeitpunkt der Abgabe der Einwilligungserklärung dieInformationen zur Verfügung gehabt haben, die zur
Abgabe einer informierten Einwilligung notwendig
sind. Nach ErwGr. 43 sind dies mindestens Informationen darüber, wer der Verantwortliche ist und fürwelche Zwecke die personenbezogenen Daten verarbeitet werden.
Diese Informationen sind zum Teil identisch mit den
nach Art. 13 DS-GVO vorgesehenen Informationspflichten. Die darüber hinausgehenden Informationspflichten müssen für die Fortgeltung bisher erteilter Einwilligungen hingegen grundsätzlich nicht
erfüllt worden sein. Unabhängig von den genannten
Bedingungen für erteilte Einwilligungen müssen
künftig die Informationspflichten nach Art. 13 DSGVO beachtet werden.

Folgen bei unwirksamer Einwilligung
Eine Einwilligung, die nicht den dargestellten Anforderungen genügt, ist unwirksam und kann nicht alsRechtsgrundlage für eine Datenverarbeitung herangezogen werden. Die Datenverarbeitung in diesem
Fall auf eine andere Rechtsgrundlage zu stützen,
beispielsweise die Wahrung berechtigter Interessen
des Verantwortlichen oder eines Dritten (Art. 6 Abs.
1 lit. f DS-GVO), ist grundsätzlich unzulässig, denn
der Verantwortliche muss die Grundsätze der Fairness und Transparenz (Art. 5 Abs. 1 lit. a DS-GVO)
beachten. Jedenfalls ist ein willkürliches Wechseln
zwischen Einwilligung und anderen Rechtsgrundlagen nicht möglich.
Erweist sich die Einwilligung als unwirksam oderkann der Verantwortliche das Vorliegen der Einwilligung nicht nachweisen, so ist die Verarbeitung derDaten auf dieser Grundlage rechtswidrig. Bei Verstößen gegen die Grundsätze der Verarbeitung,einschließlich der Bedingungen für die Einwilligung,kann von der zuständigen Aufsichtsbehörde nachEinwilligung nach der DS-GVO

Maßgabe von Art. 83 Abs. 5 lit. a DS-GVO eine
Geldbuße verhängt werden. Außerdem kommen je
nach den Umständen des Einzelfalls auch Schadensersatzansprüche der betroffenen Person in
Betracht.
Besondere Kategorien von Daten und Einwilligungeines Kindes
Gemäß Art. 9 Abs. 2 lit. a DS-GVO ist für die Verarbeitung besonderer Kategorien von Daten (Gesundheitsdaten, genetische und biometrische Datenusw.) eine dafür ausdrückliche Einwilligung erforderlich; konkludente Handlungen sind also ausgeschlossen. Art. 8 DS-GVO enthält besondere Bedingungen für die Einwilligung eines Kindes in Bezug
auf Dienste der Informationsgesellschaft.
Besondere Verarbeitungssituationen
Auch für besondere Datenverarbeitungssituation gibt
es teilweise Sonderregelungen, die zu beachten sind.
Im Beschäftigtendatenschutz sieht das neue BDSG
gestützt auf die Öffnungsklausel des Art. 88 DS-GVO
weiterhin das Erfordernis der Schriftform vor, sofern
nicht wegen besonderer Umstände eine andere Form
angemessen ist (§ 26 Abs. 2 S. 3 BDSG). Siehe dazu
auch
dasKurzpapierNr.
14,zumBeschäftigtendatenschutz. Besonderheiten sind auchbei der Einwilligung in die Datenverarbeitung zu Forschungszwecken zu beachten.
*******************************************Anmerkung zur Nutzung dieses Kurzpapiers:
Dieses Kurzpapier darf – ohne Rückfrage bei einer
Aufsichtsbehörde – kommerziell und nicht kommerziell genutzt, insbesondere vervielfältigt, ausgedruckt, präsentiert, verändert, bearbeitet sowie an
Dritte übermittelt oder auch mit eigenen Daten undDaten Anderer zusammengeführt und zu selbständigen neuen Datensätzen verbunden werden, wenn
der folgende Quellenvermerk angebracht wird:„Konferenz der unabhängigen Datenschutzbehörden
des Bundes und der Länder (Datenschutzkonferenz).
Datenlizenz Deutschland – Namensnennung –Version 2.0 (www.govdata.de/dl-de/by-2-0).

Stand: 22.02.19

Seite 3