DSK aktualisiert Kurzpapier Nr. 20 zur Einwilligung

Die Datenschutzkonferenz (DSK) hat ihr Kurzpapier Nr. 20 zur Einwilligung nach der DS-GVO überarbeitet und mit Stand vom 23.09.2026 veröffentlicht. Beschlossen wurde es auf der 3. Zwischenkonferenz, auf der auch das Kurzpapier Nr. 2 zu Aufsichtsbefugnissen und Sanktionen aktualisiert wurde. Das Papier orientiert sich an den EDSA-Leitlinien 05/2020 und fasst die Anforderungen an eine wirksame Einwilligung nach Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DS-GVO zusammen.

Aktive Erklärung und echte Wahlfreiheit

Die Einwilligung muss nicht schriftlich erteilt werden. Eine E-Mail oder das Anklicken eines Kästchens genügt. Stillschweigen, vorausgewählte Kästchen, Untätigkeit oder das bloße Weiternutzen eines Dienstes reichen dagegen nicht. Die DSK verweist dazu auf die Rechtsprechung von EuGH (C-673/17) und BGH (I ZR 7/16).

Die Freiwilligkeit setzt voraus, dass die betroffene Person die Einwilligung ohne Nachteile verweigern oder widerrufen kann. Macht ein Anbieter die Nutzung eines Internetdienstes von der Einwilligung in Cookies oder Tracking abhängig, ist die Einwilligung nach Auffassung der DSK regelmäßig nicht freiwillig. Das gilt nur dann nicht, wenn es eine tatsächlich gleichwertige Alternative ohne Tracking gibt. Hinzu kommen das Kopplungsverbot nach Art. 7 Abs. 4 DS-GVO und die Fälle eines klaren Ungleichgewichts zwischen den Beteiligten.

Nachweis im Einzelfall

Besonders praxisrelevant sind die Aussagen zur Nachweispflicht nach Art. 7 Abs. 1 DS-GVO. Der Verantwortliche muss die konkrete Einwilligungserklärung jeder einzelnen betroffenen Person dokumentieren können. Nicht ausreichend ist es:

• lediglich auf die ordnungsgemäße Gestaltung der Webseite zu verweisen,
• nur eine IP-Adresse zu speichern, von der aus eingewilligt worden sein soll.

Kann der Verantwortliche die Einwilligung nicht nachweisen, fehlt die Rechtsgrundlage.

Widerruf, Sonderfälle und Rechtsfolgen

Der Widerruf muss so einfach möglich sein wie die Erteilung. Für besondere Kategorien personenbezogener Daten verlangt Art. 9 Abs. 2 lit. a DS-GVO eine ausdrückliche Einwilligung, sodass konkludentes Verhalten nicht genügt. Im Beschäftigungsverhältnis ist die Schriftform oder elektronische Form nach § 26 Abs. 2 BDSG zu beachten. Bei Kindern außerhalb von Art. 8 DS-GVO kommt es auf die Einsichtsfähigkeit an.

Eine unwirksame Einwilligung kann nicht nachträglich durch eine andere Rechtsgrundlage wie das berechtigte Interesse ersetzt werden. Ein solcher Wechsel ist nach der DSK nicht beliebig möglich und kann gegen Fairness und Transparenz verstoßen. Es drohen Bußgelder und Schadensersatzansprüche.

Konsequenzen für die Praxis

Verantwortliche sollten ihre Einwilligungsprozesse, insbesondere Double-Opt-In-Verfahren und Cookie-Banner, am aktualisierten Kurzpapier überprüfen. Die Dokumentation muss so gestaltet sein, dass sie jede einzelne Einwilligung belegt.

Quelle: DSK, Kurzpapier Nr. 20 – Einwilligung nach der DS-GVO, Stand 23.09.2026

(Foto: Gilang – stock.adobe.com)