Newsletter verschickt, Kundendaten für eine Umfrage genutzt, Fotos von Mitarbeitenden auf der Website veröffentlicht — und keine wirksame Einwilligung eingeholt. Das passiert täglich in deutschen Unternehmen. Die Folge: Beschwerden bei der Aufsichtsbehörde, Bußgelder und im schlimmsten Fall Schadensersatzforderungen.
Dabei ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO eine der sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Richtig eingesetzt, gibt sie Ihnen Rechtssicherheit. Falsch umgesetzt, wird sie zum Risiko.
Dieser Artikel zeigt Ihnen die fünf Pflicht-Anforderungen an eine wirksame DSGVO Einwilligung, liefert Muster-Formulierungen und deckt die häufigsten Fehler auf.
Die Einwilligung ist nicht immer die richtige Rechtsgrundlage. Die DSGVO kennt sechs Rechtsgrundlagen nach Art. 6 Abs. 1. In vielen Fällen können Sie Daten auf Basis eines Vertrags, einer rechtlichen Pflicht oder eines berechtigten Interesses verarbeiten — ganz ohne Einwilligung.
| Situation | Rechtsgrundlage | Einwilligung nötig? |
|---|---|---|
| Kundendaten für Vertragserfüllung speichern | Art. 6 Abs. 1 lit. b (Vertrag) | Nein |
| Lohnabrechnung für Mitarbeitende | Art. 6 Abs. 1 lit. c (rechtliche Pflicht) | Nein |
| Newsletter an Bestandskunden (eigene Produkte) | § 7 Abs. 3 UWG (Soft-Opt-in) | Nein (unter engen Voraussetzungen) |
| Newsletter an Interessenten | Art. 6 Abs. 1 lit. a (Einwilligung) | Ja |
| Fotos von Mitarbeitenden auf der Website | Art. 6 Abs. 1 lit. a (Einwilligung) | Ja |
| Tracking-Cookies setzen | Art. 6 Abs. 1 lit. a + § 25 TDDDG | Ja |
| Weitergabe von Daten an Werbepartner | Art. 6 Abs. 1 lit. a (Einwilligung) | Ja |
| Videoüberwachung im Geschäft | Art. 6 Abs. 1 lit. f (berechtigtes Interesse) | Nein (aber Interessenabwägung nötig) |
| Gesundheitsdaten verarbeiten | Art. 9 Abs. 2 lit. a (ausdrückliche Einwilligung) | Ja |
Faustregel: Prüfen Sie immer zuerst, ob eine andere Rechtsgrundlage greift. Die Einwilligung sollte nicht die Standardlösung sein — denn sie kann jederzeit widerrufen werden, und dann müssen Sie die Verarbeitung sofort einstellen.
Art. 4 Nr. 11 und Art. 7 DSGVO definieren die Anforderungen klar. Fehlt auch nur eine davon, ist die Einwilligung unwirksam — und damit die gesamte Datenverarbeitung rechtswidrig.
Zusätzlich: Sie tragen die Beweislast. Art. 7 Abs. 1 DSGVO verpflichtet Sie, die Einwilligung nachweisen zu können. Dokumentieren Sie daher immer: wer, wann, worüber informiert, welcher Wortlaut, auf welchem Weg.
Der Europäische Gerichtshof hat im Urteil "Planet49" (C-673/17) klargestellt: Eine vorangekreuzte Checkbox stellt keine wirksame Einwilligung dar. Die betroffene Person muss selbst aktiv ein Häkchen setzen. Das gilt für Cookie-Banner, Newsletter-Formulare und jede andere Form der Einwilligung.
“Ja, ich möchte den kostenlosen Ratgeber herunterladen und stimme der Verarbeitung meiner Daten zu Werbezwecken zu.” — Solche Formulierungen koppeln eine Leistung an eine Einwilligung, die für die Leistung nicht nötig ist. Die Einwilligung ist nach Art. 7 Abs. 4 DSGVO unwirksam.
“Ich bin mit der Verarbeitung meiner Daten einverstanden.” Zu welchem Zweck? Von wem? Wie lange? Ohne diese Informationen ist die Einwilligung nicht “bestimmt” und nicht “informiert” — also unwirksam.
Viele Einwilligungsformulare enthalten keinen Hinweis auf das Widerrufsrecht. Das macht die Einwilligung nicht automatisch unwirksam, verstößt aber gegen Art. 7 Abs. 3 DSGVO und kann zu Bußgeldern führen.
Die Einwilligung wurde mündlich erteilt, das Formular nicht archiviert, der Zeitstempel fehlt. Im Beschwerdefall können Sie nichts nachweisen. Ohne Nachweis gilt: keine Einwilligung.
Ich möchte den Newsletter der [Firma] erhalten. Der Newsletter informiert [Häufigkeit] über [Themen]. Meine E-Mail-Adresse wird ausschließlich für den Newsletterversand verwendet und nicht an Dritte weitergegeben. Die Einwilligung kann ich jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder E-Mail. Weitere Informationen finden Sie in unserer [Datenschutzerklärung].
Ich willige ein, dass die [Firma] die im Rahmen von [Anlass] erstellten Fotos, auf denen ich abgebildet bin, auf der Unternehmenswebsite und in sozialen Medien veröffentlicht. Die Einwilligung ist freiwillig. Ich kann sie jederzeit mit Wirkung für die Zukunft widerrufen, indem ich eine E-Mail an [DSB-E-Mail] sende. Bereits veröffentlichte Fotos werden nach dem Widerruf entfernt.
Ich willige ein, dass die [Firma] meine E-Mail-Adresse nutzt, um mich einmalig per E-Mail zu einer Kundenzufriedenheitsumfrage einzuladen. Meine Antworten werden anonymisiert ausgewertet. Ich kann die Einwilligung jederzeit widerrufen unter [Kontaktdaten/DSB-E-Mail].
Wichtig: Diese Muster sind Orientierungshilfen. Passen Sie die Texte an Ihren konkreten Verarbeitungszweck an. Im Zweifel lassen Sie Ihre Einwilligungstexte von einem Datenschutzbeauftragten prüfen.
Zwei Sonderfälle verdienen besondere Aufmerksamkeit:
Kinder (Art. 8 DSGVO): Bei Diensten der Informationsgesellschaft (z. B. Online-Plattformen, Apps) ist die Einwilligung eines Kindes unter 16 Jahren nur wirksam, wenn die Eltern zustimmen oder die Zustimmung genehmigen. In Deutschland liegt die Altersgrenze bei 16 Jahren.
Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit — für diese Daten brauchen Sie eine ausdrückliche Einwilligung. Die Anforderungen sind strenger: Die betroffene Person muss explizit und separat für diese sensiblen Daten einwilligen.
Innerhalb von 24 Stunden war der Fall geklärt. Der Mandant wusste: Er kann jetzt datenschutzkonform eine Umfrage an seine Kunden losschicken. Genau so soll Arbeit mit einem Datenschutzbeauftragten stattfinden.
Nils OehmichenDatenschutzberater bei frag.hugo
Einwilligungen rechtssicher?
Wir prüfen Ihre Einwilligungstexte und Prozesse auf DSGVO-Konformität.
Einwilligungs-Check anfragen →Die HmbBfDI erhält jedes Jahr hunderte Beschwerden von Hamburger Verbrauchern — ein großer Teil davon betrifft unerwünschte Werbemails und fehlerhafte Cookie-Banner. Gerade Hamburger Online-Shops und Startups unterschätzen, wie genau die Behörde bei Einwilligungen hinschaut. Ein Double-Opt-in ohne korrekte Protokollierung oder ein Newsletter-Formular ohne Widerrufshinweis reicht für ein Verfahren. Wer seine Einwilligungsprozesse auf sichere Beine stellen will, kann das im Rahmen unserer Datenschutzberatung in Hamburg direkt mitklären lassen.
Nein. Die DSGVO verlangt keine bestimmte Form. Die Einwilligung kann mündlich, schriftlich oder elektronisch erfolgen. Aber: Sie müssen die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO). In der Praxis empfiehlt sich daher immer eine dokumentierte Form — schriftlich oder per Double-Opt-in.
Grundsätzlich nein. Die Einwilligung muss vor der Datenverarbeitung vorliegen. Eine nachträgliche Einwilligung heilt eine zuvor rechtswidrige Verarbeitung nicht rückwirkend. Sie können aber für die zukünftige Verarbeitung eine neue Einwilligung einholen.
Die DSGVO nennt keine Frist. Eine Einwilligung gilt grundsätzlich unbefristet, solange sich der Zweck nicht ändert. Trotzdem empfehlen die EDPB-Leitlinien zur Einwilligung eine regelmäßige Erneuerung — besonders bei Online-Diensten und E-Mail-Marketing.
Sie müssen die betroffene Verarbeitung sofort einstellen. Die bisherige Verarbeitung bleibt rechtmäßig — der Widerruf gilt nur für die Zukunft (Art. 7 Abs. 3 Satz 2 DSGVO). Prüfen Sie, ob Sie die Daten löschen müssen oder ob eine andere Rechtsgrundlage greift.
Weiterführende Informationen: DSGVO Art. 7 – Bedingungen für die Einwilligung | EDPB-Leitlinien zur Einwilligung
Verwandte Artikel: Cookie-Banner DSGVO-konform gestalten · DSGVO-Bußgelder vermeiden · Datenschutz im Online-Shop · Externer Datenschutzbeauftragter Hamburg
Inhaltsverzeichnis
Einleitung Liebe Leserinnen und Leser, in der heutigen digitalen Geschäftswelt, die sich stetig weiterentwickelt, sind Datenschutz und IT-Sicherheit...
WeiterlesenGastbeitrag: CutToFame Datenschutz Recht am eigenen Bild KI & Regulatorik Dein Gesicht ist dein Kapital – und gleichzeitig ein personenbezogenes Datum....
WeiterlesenDatenschutz im Handwerk: Welche DSGVO-Pflichten für Hamburger Handwerksbetriebe gelten – und was Sie sich sparen können. Mit Checkliste.
Weiterlesen Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist zertifizierter Datenschutzbeauftragter und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Er berät mittelständische Unternehmen zu DSGVO, NIS2 und IT-Sicherheit – praxisnah und verständlich.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
