Die Einwilligung (englisch Consent) ist im Datenschutzrecht die freiwillige, informierte und unmissverständliche Zustimmung einer Person zur Verarbeitung ihrer personenbezogenen Daten. Sie ist eine der zentralen Rechtsgrundlagen der DSGVO (Art. 6 Abs. 1 lit. a) und muss aktiv erklärt werden — etwa durch Anklicken eines Buttons. Sie kann jederzeit widerrufen werden und muss vom Verantwortlichen nachweisbar dokumentiert sein.
Was ist eine Einwilligung im Datenschutzrecht?
Die Einwilligung (englisch Consent) ist die freiwillige, informierte und unmissverständliche Zustimmung einer Person zur Verarbeitung ihrer personenbezogenen Daten. Sie ist eine der zentralen Rechtsgrundlagen der DSGVO nach Art. 6 Abs. 1 lit. a und muss aktiv erklärt werden – etwa durch das Anklicken eines Buttons. Die Anforderungen an eine wirksame Einwilligung präzisiert Art. 7 DSGVO.
Im Online-Marketing ist die Einwilligung allgegenwärtig: Sie ist die Grundlage, auf der ein Cookie-Banner Tracking freigibt und auf der ein Newsletter versendet werden darf. Ohne sie stehen viele Instrumente – von Retargeting bis zur personalisierten Werbung – rechtlich auf wackligem Grund.
Zu unterscheiden ist die datenschutzrechtliche Einwilligung von der bloßen Kenntnisnahme. Ein Nutzer, der eine Datenschutzerklärung liest, willigt damit noch nicht ein. Erforderlich ist eine eindeutige, zweckbezogene Erklärung, mit der die Person aktiv zustimmt. Diese enge Auslegung ist bewusst gewählt, weil die Einwilligung einen Grundrechtseingriff legitimiert – die Verarbeitung persönlicher Daten.
Wann ist eine Einwilligung wirksam?
Eine Einwilligung ist nur wirksam, wenn mehrere Bedingungen erfüllt sind. Sie muss freiwillig erfolgen, also ohne Zwang oder unangemessenen Druck. Sie muss informiert sein – die Person muss vorher verstehen, wer welche Daten zu welchem Zweck verarbeitet. Sie muss für den konkreten Fall erteilt werden; pauschale Blanko-Zustimmungen genügen nicht. Und sie erfordert eine aktive Handlung: Vorangekreuzte Kästchen oder bloßes Weitersurfen gelten in der Regel nicht als Einwilligung. Die Voraussetzungen sind in Art. 6 DSGVO und Art. 7 DSGVO geregelt.
Im Marketing begegnet die Einwilligung vor allem an zwei Stellen: beim Cookie-Banner für Tracking und Werbung – umgesetzt über eine Consent Management Platform – sowie bei der Newsletter-Anmeldung, wo sie üblicherweise per Double-Opt-in bestätigt wird. Der Verantwortliche muss jede Einwilligung dokumentieren und auf Verlangen nachweisen können.
Ein oft übersehener Punkt ist der Widerruf: Die Einwilligung kann jederzeit mit Wirkung für die Zukunft zurückgezogen werden, und der Widerruf muss so einfach sein wie die Erteilung. Websites brauchen deshalb eine dauerhaft erreichbare Möglichkeit, Cookie-Einstellungen zu ändern oder sich vom Newsletter abzumelden.
Besondere Anforderungen gelten für die Einwilligung Minderjähriger und für sensible Datenkategorien. Bei Kindern verlangt die DSGVO je nach Alter die Zustimmung der Sorgeberechtigten; bei Gesundheits- oder anderen besonderen Daten muss die Einwilligung ausdrücklich erfolgen. Diese Verschärfungen zeigen, dass die Einwilligung kein einheitliches Instrument ist, sondern je nach Kontext unterschiedlich streng ausfällt.
Warum ist die Einwilligung so wichtig?
Viele Marketing-Instrumente stehen und fallen mit ihr: Tracking-Cookies, Remarketing, personalisierte Werbung und E-Mail-Marketing sind ohne wirksame Zustimmung in der Regel nicht zulässig. Eine fehlende oder unwirksame Einwilligung kann Bußgelder, Abmahnungen und Beweisprobleme nach sich ziehen – etwa wenn ein Newsletter-Empfänger bestreitet, sich je angemeldet zu haben. Bei Werbe-E-Mails greift zusätzlich das Wettbewerbsrecht: § 7 UWG verlangt für elektronische Werbung grundsätzlich die vorherige ausdrückliche Einwilligung.
Die Einwilligung ist zugleich ein Datenqualitätsfaktor. Eine sauber eingeholte Zustimmung verbessert die Vollständigkeit der Messung und damit die Grundlage für Conversion-Tracking und Performance-Marketing. Wer Einwilligungen erschleicht oder verschleiert, riskiert dagegen nicht nur rechtliche Folgen, sondern auch unbrauchbare Daten.
Nicht zuletzt ist die Einwilligung ein Vertrauensinstrument. Wer transparent erklärt, was mit den Daten geschieht, und eine echte Wahl lässt, stärkt die Beziehung zu Kunden und Interessenten. Umgekehrt beschädigen manipulative Einwilligungsdialoge das Markenbild und können den Ruf nachhaltig belasten.
Einwilligung in der Praxis
In der Praxis wird die Einwilligung auf Websites über eine CMP eingeholt und dokumentiert. Für Newsletter hat sich das Double-Opt-in-Verfahren etabliert, weil es den Nachweis erleichtert. Bei Kontaktformularen von Kanzleien oder Steuerberatern ist die Einwilligung dagegen oft gar nicht die passende Rechtsgrundlage – hier kommen häufig die Vertragsanbahnung oder das berechtigte Interesse in Betracht; die Einordnung sollte im Zweifel fachlich geprüft werden. Einen guten Überblick über den Begriff bietet der Wikipedia-Artikel zur Einwilligung.
Ein verbreiteter Fehler ist das Koppeln von Einwilligungen: Wer eine Leistung nur gegen Werbeeinwilligung anbietet, riskiert deren Unwirksamkeit. Einwilligungstexte sollten daher konkret, verständlich und getrennt nach Zwecken formuliert sein. Bei besonders schützenswerten Verarbeitungen kann außerdem eine Datenschutz-Folgenabschätzung erforderlich werden.
Für die Dokumentation empfiehlt sich ein System, das Zeitpunkt, Textversion und Umfang jeder Einwilligung festhält. So lässt sich später belegen, worauf sich die Zustimmung bezog. Diese Sorgfalt zahlt sich spätestens dann aus, wenn eine betroffene Person ihr Auskunftsrecht geltend macht oder eine Aufsichtsbehörde nachfragt.
Abgrenzung zu anderen Rechtsgrundlagen
Die Einwilligung ist nur eine von mehreren Rechtsgrundlagen der DSGVO. Daneben stehen unter anderem die Vertragserfüllung, die rechtliche Verpflichtung und das berechtigte Interesse. Für Marketing ist die Wahl der richtigen Grundlage entscheidend: Nicht jede Verarbeitung braucht eine Einwilligung, aber wo sie erforderlich ist, muss sie den strengen Anforderungen genügen.
Wer die Grundlagen sauber trennt, vermeidet den häufigen Fehler, alles über die Einwilligung abwickeln zu wollen. Das kann sogar nachteilig sein, weil eine widerrufene Einwilligung die Verarbeitung sofort beendet, während etwa das berechtigte Interesse fortbesteht. Für die Dokumentation und die spätere Auskunft an Betroffene ist es wichtig, für jede Verarbeitung die zutreffende Grundlage festzuhalten – Fragen dazu kann auch ein Datenschutzbeauftragter klären.