Was die DSGVO unter Einwilligung versteht
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, „in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“. Erwägungsgrund 32 stellt klar, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen.
Diese Definition enthält bereits die meisten „Arten“, von denen Sie lesen werden. Informiert, bestimmt und unmissverständlich sind keine Varianten, zwischen denen Sie wählen können, sondern Bedingungen, die jede Einwilligung erfüllen muss. Die DSGVO lässt nur eine echte Wahl: zwischen der normalen Einwilligung durch eine eindeutige bestätigende Handlung und der strengeren ausdrücklichen Einwilligung. Alles andere, allen voran die konkludente Einwilligung, reicht nicht.
Für Cookies verweist § 25 TDDDG, die deutsche Umsetzung der ePrivacy-Richtlinie, auf diesen Einwilligungsbegriff der DSGVO. Die vollständige Checkliste finden Sie in unserem Leitfaden zu den Voraussetzungen einer wirksamen DSGVO-Einwilligung. Dieser Artikel erklärt die gängigen Begriffe und was sie in der Praxis bedeuten.
Die Arten der Einwilligung im Überblick
- Ausdrückliche Einwilligung: eine ausdrückliche Erklärung, schriftlich oder mündlich, die einen bestimmten Zweck bestätigt. Die DSGVO verlangt sie in drei Fällen.
- Unmissverständliche Einwilligung: eine eindeutige bestätigende Handlung, etwa ein Klick auf „Akzeptieren“ oder das Ankreuzen eines leeren Kästchens. Der Standard der DSGVO, auch für Cookies.
- Informierte Einwilligung: eine Einwilligung nach Erhalt der Informationen, die für die Entscheidung nötig sind. Voraussetzung jeder wirksamen Einwilligung.
- Konkludente oder stillschweigende Einwilligung: aus einem Verhalten abgeleitet (weitersurfen, scrollen, nicht widersprechen). Nach der DSGVO unwirksam.
- Granulare Einwilligung: eine eigene Wahl für jeden Zweck statt eines pauschalen „Ich stimme zu“.
- Opt-in und Opt-out: zwei Modelle. Beim Opt-in passiert nichts vor der Zustimmung; beim Opt-out läuft die Verarbeitung, bis die Person widerspricht.
- Einwilligung der Eltern: durch die Träger der elterlichen Verantwortung für ein Kind unter der gesetzlichen Altersgrenze.
Ausdrückliche Einwilligung: wann die DSGVO sie verlangt
Die ausdrückliche Einwilligung ist strenger als die normale Einwilligung. Die DSGVO verlangt sie in drei Fällen:
- bei der Verarbeitung besonderer Kategorien personenbezogener Daten wie Gesundheit, Religion, sexuelle Orientierung oder biometrische Daten (Art. 9 Abs. 2 lit. a);
- bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 Abs. 2 lit. c);
- bei Übermittlungen in Drittländer ohne geeignete Garantien (Art. 49 Abs. 1 lit. a).
Die EDSA-Leitlinien 05/2020 zur Einwilligung erklären, dass sich „ausdrücklich“ auf die Art bezieht, wie die Einwilligung erklärt wird. Die Person muss sie ausdrücklich bestätigen: durch ein unterschriebenes Formular, einen geschriebenen Satz, eine E-Mail, eine elektronische Signatur oder ein Kästchen neben einem Satz, der den konkreten Zweck nennt. Auch eine zweistufige Bestätigung (Formular, dann Bestätigungs-E-Mail) kann genügen.
Beispiele für eine ausdrückliche Einwilligung
- Eine Gesundheits-App fragt: „Ich willige ein, dass [Firma] meine Symptome verarbeitet, um mir Übungen vorzuschlagen“, mit leerem Kästchen und separater Bestätigung.
- Eine Online-Apotheke holt eine unterschriebene Erklärung ein, bevor sie Rezeptdaten speichert.
- Eine Recruiting-Plattform verlangt eine schriftliche Bestätigung vor einer vollautomatisierten Absage.
Auf einer normalen Website brauchen Cookies in der Regel keine ausdrückliche, sondern eine unmissverständliche Einwilligung. Die Ausnahme: Tracking, das sensible Daten offenlegt, etwa wenn eine Website Werbeprofile aus Besuchen von Seiten über eine Krankheit erstellt.
Unmissverständliche Einwilligung: der Standard für Cookies
Unmissverständlich heißt, dass die Person etwas getan hat, das ihre Zustimmung klar zeigt. Ein Klick auf „Alle akzeptieren“, das Aktivieren einer Kategorie oder das Ankreuzen eines leeren Kästchens erfüllen das. Entscheidend ist die Handlung: etwas, das der Besucher aktiv tut.
Der Europäische Gerichtshof hat das für Cookies im Urteil Planet49 (C-673/17, 1. Oktober 2019) bestätigt: Ein vorangekreuztes Kästchen ist keine wirksame Einwilligung, weil der Nutzer nichts tut. Der Bundesgerichtshof hat die Entscheidung im Mai 2020 für Deutschland übernommen. Dieselbe Logik schließt Banner aus, die das Schließen über das Kreuz als Zustimmung werten.
Was ist also der Unterschied zwischen ausdrücklicher und unmissverständlicher Einwilligung? Beide verlangen eine aktive Wahl. Die ausdrückliche Einwilligung fügt eine ausdrückliche Erklärung zu einem bestimmten Zweck hinzu, oft schriftlich. Ein Klick auf „Akzeptieren“ für Analyse-Cookies ist unmissverständlich und genügt für Cookies. Für die Verarbeitung von Gesundheitsdaten würde er nicht reichen.
Konkludente Einwilligung: warum sie für Cookies nicht mehr gilt
Eine konkludente Einwilligung wird aus dem Verhalten abgeleitet, nicht erklärt. Vor 2018 setzten viele europäische Banner darauf: „Durch die weitere Nutzung der Website stimmen Sie der Verwendung von Cookies zu.“
Mit der DSGVO ist das vorbei. Die EDSA-Leitlinien 05/2020 halten fest, dass Scrollen, Wischen oder ähnliche Aktivitäten auf einer Seite unter keinen Umständen eine eindeutige bestätigende Handlung sind. Die Aufsichtsbehörden sind gefolgt:
- Deutschland: Die Orientierungshilfe der DSK für Anbieter digitaler Dienste verlangt eine aktive Einwilligung; reines Weitersurfen genügt nicht.
- Frankreich: Die CNIL-Leitlinien vom September 2020 haben das Weitersurfen als Einwilligung abgeschafft, mit Umsetzungsfrist zum 31. März 2021.
- Spanien: Die AEPD hat ihren Cookie-Leitfaden im Juli 2020 angepasst und das „seguir navegando“ gestrichen.
Wo es die konkludente Einwilligung noch gibt
Außerhalb des europäischen Datenschutzes ist der Begriff weiter üblich. In der Medizin willigt ein Patient konkludent ein, wenn er für eine Blutabnahme den Arm hinhält. In Kanada akzeptiert das PIPEDA konkludente Einwilligungen für weniger sensible Daten, und das Anti-Spam-Gesetz CASL unterscheidet ausdrückliche und stillschweigende Einwilligung für Werbe-E-Mails. In den USA folgen die meisten Datenschutzgesetze der Bundesstaaten bei Werbe-Cookies einem Opt-out-Modell.
Wenn sich Ihre Website an Besucher in Europa richtet, ändert keines dieser Modelle Ihre Pflichten ihnen gegenüber.
Informierte Einwilligung: was die Person wissen muss
Die informierte Einwilligung stammt aus der Medizinethik. Nach der DSGVO bedeutet sie, dass die Person vor ihrer Entscheidung ausreichend informiert wird. Laut EDSA gehören mindestens dazu:
- die Identität des Verantwortlichen;
- der Zweck jedes Verarbeitungsvorgangs, für den eingewilligt werden soll;
- die Art der erhobenen und verwendeten Daten;
- das Recht, die Einwilligung jederzeit zu widerrufen;
- gegebenenfalls die Nutzung für automatisierte Entscheidungen und die Risiken einer Übermittlung in Drittländer.
Für ein Cookie-Banner heißt das: die Zwecke (Analyse, Werbung, Personalisierung) auf der ersten Ebene in einfachen Worten nennen und auf der zweiten Ebene die dahinterstehenden Dienste und Cookies auflisten. Ein Banner, das nur „Wir verwenden Cookies, um Ihr Erlebnis zu verbessern“ sagt, ist nicht informiert. Wer die Wahl hinter verwirrenden Formulierungen versteckt, verstößt ebenfalls gegen diese Regel: Unser Artikel zu Cookie-Dark-Patterns listet die Gestaltungen, die bereits sanktioniert wurden.
Bevor Sie Ihren Bannertext schreiben, sollten Sie wissen, was Ihre Website tatsächlich setzt. Prüfen Sie in 30 Sekunden, welche Cookies Ihre Website setzt, mit dem kostenlosen Cookie-Scanner.
Granulare Einwilligung: eine Wahl pro Zweck
Die Einwilligung muss für den bestimmten Fall erteilt werden. Nutzen Sie Daten für mehrere unterschiedliche Zwecke, muss die Person einzelne annehmen und andere ablehnen können. Deshalb gibt es Kategorien im Cookie-Banner: Ein Besucher kann Reichweitenmessung akzeptieren und Werbung ablehnen. Ein einziger Button „Ich stimme zu“ für Statistik, Werbung und soziale Medien ohne Ablehnungsmöglichkeit ist eine gebündelte Einwilligung und unwirksam.
Art. 7 Abs. 4 ergänzt das Kopplungsverbot: Die Einwilligung darf keine Bedingung für einen Dienst sein, wenn die Verarbeitung dafür nicht erforderlich ist. Art. 7 Abs. 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung, in der Praxis also ein dauerhafter Link oder Button zum erneuten Öffnen des Banners.
Opt-in oder Opt-out
Opt-in ist das europäische Modell: Kein nicht notwendiges Cookie wird gesetzt und kein Tag ausgelöst, bevor der Besucher zustimmt. Opt-out kehrt die Logik um: Das Tracking startet sofort, und die Person kann später widersprechen, etwa über einen „Do Not Sell or Share“-Link nach kalifornischem Recht. Nach DSGVO und TDDDG brauchen alle Cookies, die nicht technisch notwendig sind, ein Opt-in. Ein Banner, das Google Analytics beim ersten Aufruf lädt und erst danach eine Ablehnung anbietet, arbeitet im Opt-out und ist in der EU nicht konform.
Weitere Formen: schriftlich, mündlich, durch die Eltern
- Schriftliche Einwilligung: Für die normale Einwilligung nicht vorgeschrieben, aber der einfachste Weg zu einer ausdrücklichen Einwilligung.
- Mündliche Einwilligung: Kann wirksam sein, etwa in einem aufgezeichneten Telefonat, ist aber schwerer nachzuweisen.
- Einwilligung der Eltern: Gilt für Online-Dienste, die sich direkt an Kinder richten. Art. 8 setzt die Grenze bei 16 Jahren, Mitgliedstaaten können sie bis auf 13 senken. Deutschland bleibt bei 16 Jahren.
In jeder Form verlangt Art. 7 Abs. 1, dass Sie die Einwilligung nachweisen können. Für Cookies bedeutet das, jede Entscheidung zu protokollieren: siehe Nachweis der Cookie-Einwilligung: was Sie speichern sollten.
Welche Einwilligung braucht Ihre Website?
Für die meisten Websites ist die Antwort einfach:
- Nicht technisch notwendige Cookies und Tracker: unmissverständliche, informierte und granulare Opt-in-Einwilligung, eingeholt, bevor etwas geladen wird.
- Technisch notwendige Cookies: keine Einwilligung, aber Information in Ihrer Cookie-Richtlinie.
- Sensible Daten oder vollautomatisierte Entscheidungen: ausdrückliche Einwilligung mit ausdrücklicher Erklärung und Nachweis.
- Besucher außerhalb Europas: Prüfen Sie das lokale Recht; den europäischen Standard überall anzuwenden ist die einfachste Lösung und erfüllt auch Opt-out-Regime.
FlowConsent ist ein Beispiel für ein Banner nach diesem Opt-in-Modell: Es zeigt „Akzeptieren“ und „Ablehnen“ gleichwertig auf der ersten Ebene und lässt Besucher Kategorie für Kategorie wählen.
Wie FlowConsent die Arten der Einwilligung umsetzt
FlowConsent holt die Einwilligung ein, die DSGVO und TDDDG für Cookies verlangen: eine aktive, informierte und granulare Wahl. Einwilligungspflichtige Skripte werden vor der Einwilligung blockiert, sodass nichts vor dem Klick des Besuchers ausgelöst wird. Das Banner behält gleichwertige Buttons für Akzeptieren und Ablehnen sowie granulare Kategorien, und die Anpassung des Designs ändert diese Voreinstellungen nicht (siehe Banner-Anpassung). Der automatische Cookie-Scan listet die Dienste Ihrer Website, damit jeder Zweck korrekt beschrieben ist. Jede Entscheidung wird protokolliert, und Sie können den Einwilligungsnachweis jederzeit exportieren. Google Consent Mode v2 ist integriert, die Daten werden in Europa gehostet, und die Installation dauert etwa zehn Minuten. FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos, danach kostet Pro 14,99 € pro Monat für bis zu 100.000 Sitzungen.