Was bedeuten Opt-in und Opt-out?
Opt-in bedeutet, dass die Person einen aktiven Schritt macht, um Ja zu sagen. Solange sie das nicht tut, gilt Nein. Ein leeres Newsletter-Kästchen ankreuzen, im Cookie-Banner auf „Akzeptieren“ klicken oder ein Abonnement per Bestätigungs-E-Mail freigeben: Das alles sind Opt-ins.
Opt-out bedeutet, dass standardmäßig Ja gilt. Die Verarbeitung läuft von Anfang an, und die Person kann später Nein sagen: über einen Abmeldelink, durch das Entfernen eines vorab gesetzten Häkchens oder über einen Link „Do Not Sell or Share My Personal Information“.
Die Begriffe kommen auch außerhalb des Datenschutzes vor (Organspende, Altersvorsorge, Telefonbücher), die Logik bleibt aber gleich. Es ändert sich nur, wer handeln muss und wann. Beim Opt-in muss das Unternehmen ein Ja einholen. Beim Opt-out muss die Person ein Nein äußern.
Der Unterschied zwischen Opt-in und Opt-out an Beispielen
Am deutlichsten wird der Unterschied, wenn man dieselbe Situation in beiden Modellen vergleicht:
- Cookie-Banner. Opt-in: Google Analytics lädt erst nach dem Klick auf „Akzeptieren“. Opt-out: Google Analytics lädt beim Seitenaufruf, und der Banner bietet danach eine Ablehnung an.
- Newsletter im Bestellprozess. Opt-in: ein leeres Kästchen „Newsletter abonnieren“. Opt-out: dasselbe Kästchen bereits angehakt.
- Datenverkauf in Kalifornien. Opt-out: Ein Unternehmen darf Daten verkaufen oder teilen, bis der Verbraucher widerspricht oder ein Global-Privacy-Control-Signal sendet.
- SMS-Werbung in den USA. Opt-in: Die Person meldet sich per Formular oder Keyword an, bevor sie Werbe-SMS erhält.
Das vorab angekreuzte Kästchen ist die häufigste Falle. Es sieht aus wie eine Wahl, aber wer nichts tut, gilt als einverstanden. Rechtlich ist das ein Opt-out.
Opt-in und Opt-out nach der DSGVO
Die DSGVO verwendet die Wörter Opt-in und Opt-out nicht, ihre Definition der Einwilligung ist aber ein Opt-in. Art. 4 Nr. 11 DSGVO verlangt „eine Erklärung oder eine sonstige eindeutige bestätigende Handlung“, und Erwägungsgrund 32 stellt klar, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ keine Einwilligung darstellen. Alle Voraussetzungen finden Sie in unserem Leitfaden zu den Voraussetzungen einer wirksamen DSGVO-Einwilligung.
Zwei Entscheidungen machen das konkret:
- Planet49 (EuGH, 1. Oktober 2019, C-673/17). Der Gerichtshof entschied, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung in Cookies ist, unabhängig davon, ob die Cookies personenbezogene Daten enthalten. Der BGH übernahm diese Linie 2020 im Verfahren „Cookie-Einwilligung II“.
- Leitlinien der Aufsichtsbehörden. Die Orientierungshilfe der DSK für Anbieter digitaler Dienste und die Leitlinien der französischen CNIL von 2020 verlangen, dass die Ablehnung genauso einfach ist wie die Zustimmung.
Opt-out hat in der DSGVO trotzdem einen Platz, aber nicht als Einwilligung. Stützt sich eine Verarbeitung auf das berechtigte Interesse, haben Betroffene ein Widerspruchsrecht (Art. 21), das wie ein Opt-out funktioniert. Bei Direktwerbung ist dieses Recht absolut. Außerdem muss der Widerruf einer Einwilligung so einfach sein wie ihre Erteilung (Art. 7 Abs. 3).
Einen Überblick über weitere Formen (ausdrücklich, konkludent, informiert) gibt der Artikel Arten der Einwilligung.
Opt-in und Opt-out bei Cookies
Für Cookies gilt Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt in § 25 TDDDG: Das Speichern oder Auslesen von Informationen auf einem Endgerät erfordert eine vorherige Einwilligung, es sei denn, es ist unbedingt erforderlich für den gewünschten Dienst. In der Praxis:
- Opt-in ist nötig für Analyse, Werbung, Social-Media-Pixel, A/B-Testing-Tools und die meisten eingebetteten Inhalte.
- Keine Einwilligung brauchen technisch notwendige Cookies, etwa ein Warenkorb-Cookie oder das Cookie, das die Einwilligungsentscheidung selbst speichert.
Entscheidend ist das Wort „vorherig“. Feuert ein Tag vor dem Klick, arbeitet der Banner faktisch als Opt-out, egal was auf den Buttons steht. Das ist der häufigste Befund bei Audits: Der Banner sieht korrekt aus, aber Google Analytics oder das Meta-Pixel hat bereits Cookies gesetzt.
Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website vor jeder Entscheidung setzt. Tauchen vor der Einwilligung andere als technisch notwendige Cookies auf, arbeitet Ihr Banner als Opt-out.
Opt-in und Opt-out im E-Mail-Marketing
Für Werbe-E-Mails gilt eine verwandte Regel. Art. 13 der ePrivacy-Richtlinie verlangt eine vorherige Einwilligung, mit einer Ausnahme für Bestandskunden: Ein Unternehmen darf eigenen Kunden Werbung für ähnliche Waren oder Dienstleistungen schicken, wenn es bei der Erhebung der Adresse und in jeder Nachricht auf das Widerspruchsrecht hinweist.
In Deutschland ist das in § 7 UWG geregelt: Werbung per E-Mail erfordert eine vorherige ausdrückliche Einwilligung, die Bestandskundenausnahme steht in § 7 Abs. 3 UWG. Das Double-Opt-in-Verfahren (eine Bestätigungs-E-Mail vor dem ersten Newsletter) ist hierzulande Standard, weil es die Einwilligung nachweisbar macht. In Frankreich und Spanien gelten ähnliche Regeln (Art. L34-5 des französischen Code des postes, Art. 21 der spanischen LSSI), wobei Frankreich für E-Mails an Geschäftskunden unter Bedingungen ein Opt-out zulässt.
Die DSGVO schreibt Double-Opt-in nicht ausdrücklich vor, aber Art. 7 Abs. 1 verlangt, dass Sie die Einwilligung nachweisen können. Für Cookies bedeutet das, jede Entscheidung zu protokollieren (siehe was Sie als Nachweis der Cookie-Einwilligung speichern sollten).
Opt-out-Länder: die USA
Die meisten US-Datenschutzgesetze arbeiten mit Opt-out. Nach dem CCPA, geändert durch den CPRA, dürfen Unternehmen Daten erheben und Cookies setzen, ohne vorher zu fragen, müssen Verbrauchern aber den Widerspruch gegen Verkauf oder Weitergabe ermöglichen und Signale wie Global Privacy Control beachten. 2022 schloss der kalifornische Generalstaatsanwalt mit Sephora einen Vergleich über 1,2 Millionen US-Dollar, unter anderem wegen nicht beachteter GPC-Signale. Details finden Sie im Vergleich CCPA vs. DSGVO und auf der Seite CCPA und CPRA.
Opt-in gibt es auch im US-Recht: Der CCPA verlangt es für den Verkauf von Daten von Verbrauchern unter 16 Jahren, mehrere Bundesstaaten für sensible Daten, und der TCPA für Werbe-SMS und automatisierte Anrufe. Bei E-Mails gilt nach CAN-SPAM dagegen Opt-out: Jede Werbe-E-Mail braucht einen funktionierenden Abmeldelink, und Abmeldungen müssen innerhalb von 10 Werktagen umgesetzt werden.
Ist Opt-in oder Opt-out besser?
Für die Person bietet Opt-in mehr Kontrolle: Ohne Entscheidung passiert nichts. Für das Unternehmen liefert Opt-out mehr Daten, weil die meisten Menschen eine Voreinstellung nie ändern. Genau deshalb hat sich das europäische Recht für Opt-in entschieden: Eine Voreinstellung ist keine Entscheidung.
Opt-in hat auch praktische Vorteile. Eine nachweisbare Einwilligung schützt Sie bei einer Prüfung oder Beschwerde. Eine Opt-in-Liste erzeugt weniger Spam-Beschwerden. Und ein einheitliches Opt-in-Modell ist für internationale Websites am einfachsten: Es erfüllt den europäischen Standard und wird auch dort akzeptiert, wo Opt-out üblich ist.
FlowConsent ist ein Beispiel für diesen Ansatz: Der Banner wendet Opt-in auf alle Besucher an, mit „Akzeptieren“ und „Ablehnen“ gleichwertig auf der ersten Ebene.
Opt-in-Checkliste für Ihre Website
- Alle nicht notwendigen Cookies und Tags bis zum Klick blockieren.
- „Akzeptieren“ und „Ablehnen“ auf derselben Ebene und gleich gewichtet anzeigen.
- Niemals Kästchen vorab ankreuzen, weder für Cookies noch für Newsletter.
- Eine Auswahl nach Kategorien anbieten (Statistik, Marketing, Präferenzen).
- Änderung und Widerruf jederzeit ermöglichen, zum Beispiel über einen schwebenden Button.
- Jede Entscheidung mit Datum, Banner-Version und akzeptierten Kategorien protokollieren.
- Google-Tags bis zur Einwilligung abgelehnte Standardsignale senden.
- Die Website nach jedem neuen Tool oder Plugin erneut scannen.
Wie FlowConsent Opt-in umsetzt
FlowConsent arbeitet standardmäßig nach dem Opt-in-Prinzip. Einwilligungspflichtige Skripte werden vor der Einwilligung blockiert, nichts wird ausgelöst, bevor der Besucher auf „Akzeptieren“ klickt oder Kategorien wählt. Google Consent Mode v2 ist integriert: Alle vier Signale stehen auf „denied“, bevor ein Google-Tag lädt, und wechseln erst nach einem Opt-in auf „granted“ (siehe Dokumentation zu Google Consent Mode). Der automatische Cookie-Scan listet die Dienste Ihrer Website auf, jede Entscheidung wird gespeichert und der Einwilligungsnachweis ist jederzeit exportierbar. Die Daten werden in Europa gehostet, die Installation dauert etwa zehn Minuten, auf Webflow, WordPress, Shopify, Wix, Framer oder über GTM. FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos, danach kostet Pro 14,99 € pro Monat für bis zu 100.000 Sitzungen.