Das Wichtigste in Kürze
- Die Datenschutzkonferenz (DSK) hat ihr Kurzpapier Nr. 20 zur Einwilligung überarbeitet (Stand 23.09.2026).
- Verantwortliche müssen für jede einzelne Person die konkrete Einwilligungserklärung belegen können.
- Der Hinweis auf eine korrekt gestaltete Webseite genügt als Nachweis nicht, eine gespeicherte IP-Adresse ebenso wenig.
- Hängt ein Internetdienst von der Zustimmung zu Cookies oder Tracking ab, ist die Einwilligung regelmäßig unfreiwillig, außer es gibt eine tatsächlich gleichwertige Variante ohne Tracking.
- Bei Verstößen drohen Bußgeld und Schadensersatz.
Was hat die Datenschutzkonferenz veröffentlicht?
Die DSK ist das Gremium der deutschen Aufsichtsbehörden. Sie hat ihr Kurzpapier Nr. 20 überarbeitet (Stand 23.09.2026).
Das Einwilligungspapier stützt sich auf die Leitlinien 05/2020 des Europäischen Datenschutzausschusses (EDSA). Es bündelt, was eine wirksame Einwilligung nach Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DSGVO ausmacht.
Welche Form muss eine Einwilligung haben?
Schriftform ist nicht nötig. Ein Häkchen oder eine E-Mail reicht.
Keine Einwilligung sind dagegen:
- Schweigen,
- vorangekreuzte Kästchen,
- das schlichte Weiternutzen eines Dienstes.
Die DSK verweist dazu auf EuGH, Urteil vom 01.10.2019, C-673/17, und BGH, Urteil vom 28.05.2020, I ZR 7/16. Das bestätigt die Linie aus dem Beitrag Anforderungen an Cookie-Banner, der beide Entscheidungen und ein Urteil des LG Rostock einordnet.
Wann ist eine Einwilligung freiwillig?
Wer ablehnt oder widerruft, darf keinen Nachteil haben. Hängt ein Internetdienst von der Zustimmung zu Cookies oder Tracking ab, ist die Einwilligung regelmäßig unfreiwillig. Eine Ausnahme gilt nur, wenn es eine tatsächlich gleichwertige Variante ohne Tracking gibt.
Auch das Kopplungsverbot (Art. 7 Abs. 4 DSGVO) und ein klares Machtgefälle zwischen den Beteiligten können die Einwilligung zu Fall bringen.
Wie muss ich eine Einwilligung nachweisen?
Hier liegt der wichtigste Praxispunkt. Für jede einzelne Person muss die konkrete Erklärung belegbar sein. Der Hinweis auf eine korrekt gestaltete Webseite genügt nicht, eine gespeicherte IP-Adresse ebenso wenig. Ohne Nachweis fehlt die Rechtsgrundlage.
Welche Sonderfälle und Folgen gibt es?
- Der Widerruf muss so einfach sein wie die Erteilung. Das bestätigt den Beitrag Ein Mausklick kommt selten allein.
- Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) verlangen eine ausdrückliche Einwilligung.
- Beschäftigte willigen grundsätzlich schriftlich oder elektronisch ein (§ 26 Abs. 2 BDSG).
- Bei Kindern außerhalb von Art. 8 DSGVO zählt die Einsichtsfähigkeit.
- Eine unwirksame Einwilligung rückwirkend auf berechtigte Interessen zu stützen, kann Probleme bei Fairness und Transparenz aufwerfen. Ein willkürlicher Wechsel der Rechtsgrundlage ist nicht möglich. Das bestätigt die Linie des Beitrags Kein Zurück von der Einwilligung.
- Bei Verstößen drohen Bußgeld und Schadensersatz.
Was bedeutet das für die Praxis?
- Prüfen Sie Ihre Einwilligungsstrecken am Kurzpapier, vor allem Double-Opt-In und Cookie-Banner.
- Machen Sie „Ablehnen“ im Cookie-Banner so leicht erreichbar wie „Akzeptieren“.
- Speichern Sie jede Einwilligung mit Person, Zeitpunkt und Wortlaut, und legen Sie sie auf Nachfrage vor.
- Entfernen Sie vorangekreuzte Kästchen, und prüfen Sie Kopplungen, etwa Gewinnspiel gegen Newsletter.
- Fehlt der Nachweis, stoppen Sie die Verarbeitung oder holen Sie die Einwilligung neu ein.
Mehr zur Beratung im Datenschutzrecht.
Häufige Fragen
Braucht eine Einwilligung die Schriftform?
Nein. Ein Häkchen oder eine E-Mail reicht. Schweigen, vorangekreuzte Kästchen oder das schlichte Weiternutzen eines Dienstes genügen nicht.
Reicht es, wenn meine Webseite korrekt gestaltet ist?
Nein. Für jede einzelne Person muss die konkrete Erklärung belegbar sein. Auch eine gespeicherte IP-Adresse reicht nicht.
Darf ich die Nutzung meines Internetdienstes von der Zustimmung zu Cookies abhängig machen?
Die Einwilligung ist dann regelmäßig unfreiwillig. Das gilt nur dann nicht, wenn es eine tatsächlich gleichwertige Variante ohne Tracking gibt.
Was tue ich, wenn der Nachweis fehlt?
Stoppen Sie die Verarbeitung, oder holen Sie die Einwilligung neu ein.
