DSK präzisiert Vorgaben zur Einwilligung

(openPR) Köln, 25. Oktober 2026 – Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat ihr Kurzpapier Nr. 20 zur Einwilligung nach der DS-GVO aktualisiert. Für Unternehmen und andere Verantwortliche rücken damit Freiwilligkeit, aktive Zustimmung und Nachweisbarkeit von Einwilligungen erneut in den Fokus.

Die Aktualisierung wurde auf der 3. Zwischenkonferenz der Datenschutzkonferenz am 23. September 2026 beschlossen, die als Videokonferenz stattfand. Die Datenschutzkonferenz informierte am 24. September 2026 über die Ergebnisse. Neben dem Kurzpapier zur Einwilligung wurden dabei auch weitere Themen behandelt, unter anderem Videoüberwachung in Fitnessstudios, Smart Glasses und Sicherheitsgesetze.

Einwilligung bleibt an strenge Voraussetzungen gebunden

Die Einwilligung ist eine mögliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten nach der DS-GVO. Sie trägt eine Verarbeitung jedoch nur, wenn die gesetzlichen Anforderungen tatsächlich erfüllt sind. Das aktualisierte Kurzpapier Nr. 20 fasst diese Voraussetzungen zusammen und berücksichtigt dabei die Leitlinien 05/2020 des Europäischen Datenschutzausschusses.

Nach der DS-GVO muss eine Einwilligung freiwillig, für einen bestimmten Fall, informiert und unmissverständlich erfolgen. Betroffene Personen müssen erkennen können, welche Datenverarbeitung erlaubt werden soll und welchem Zweck sie dient. Allgemeine, pauschale oder unklare Erklärungen können hierfür nicht ausreichen.

Das Kurzpapier stellt außerdem klar, dass Verantwortliche nicht beliebig zwischen Rechtsgrundlagen wechseln können. Eine unwirksame Einwilligung kann insbesondere nicht ohne Weiteres nachträglich durch ein berechtigtes Interesse ersetzt werden. Bei Verstößen kommen nach der Darstellung der Datenschutzkonferenz Bußgelder und Schadensersatzansprüche in Betracht.

Aktive Entscheidung und Nachweis jeder Einwilligung

Ein Schwerpunkt des aktualisierten Papiers liegt auf der aktiven Willensbekundung. Reines Schweigen, voreingestellte Kästchen, Untätigkeit, die bloße weitere Nutzung eines Dienstes oder Weiterscrollen auf einer Internetseite genügen danach nicht. Die betroffene Person muss eine bewusste Entscheidung treffen.

Für digitale Angebote ist diese Klarstellung besonders relevant. Einwilligungsmechanismen für Cookies, Tracking-Technologien oder vergleichbare Verfahren müssen so gestaltet sein, dass die Zustimmung auf einer aktiven Handlung beruht. Wird die Nutzung eines Internetdienstes von einer Tracking-Einwilligung abhängig gemacht, sieht die Datenschutzkonferenz die Freiwilligkeit regelmäßig kritisch, wenn keine tatsächlich gleichwertige Alternative ohne Tracking besteht.

Verantwortliche müssen zudem nach Art. 7 Abs. 1 DS-GVO nachweisen können, dass die jeweilige betroffene Person eingewilligt hat. Nach Auffassung der Datenschutzkonferenz reicht es nicht aus, lediglich auf eine ordnungsgemäß gestaltete Internetseite zu verweisen. Erforderlich ist die nachvollziehbare Dokumentation der konkreten Erklärung jeder einzelnen betroffenen Person.

• Freiwilligkeit: Die Entscheidung darf nicht faktisch erzwungen werden.
• Bestimmtheit: Der Zweck der Verarbeitung muss klar erkennbar sein.
• Informiertheit: Betroffene benötigen ausreichende Informationen vor der Entscheidung.
• Aktive Handlung: Untätigkeit oder vorangekreuzte Felder reichen nicht aus.
• Nachweisbarkeit: Verantwortliche müssen die einzelne Einwilligung belegen können.

Folgen für Unternehmen und digitale Geschäftsmodelle

„Für Unternehmen ist die aktualisierte Fassung ein Hinweis, Einwilligungsprozesse nicht nur formal, sondern auch inhaltlich und technisch zu überprüfen“, sagt Rechtsanwalt Michael Rainer, MTR Legal Rechtsanwälte. „Investoren sollten bei datengetriebenen Geschäftsmodellen berücksichtigen, dass unwirksame Einwilligungen erhebliche Auswirkungen auf die Nutzung von Datenbeständen haben können.“

Auch der Widerruf bleibt ein wichtiger Punkt. Nach dem Kurzpapier muss er so einfach möglich sein wie die Erteilung der Einwilligung. Der Widerruf wirkt für die Zukunft; eine bis dahin auf Grundlage einer wirksamen Einwilligung erfolgte Verarbeitung bleibt davon unberührt.

Besondere Anforderungen gelten bei besonderen Kategorien personenbezogener Daten, für die eine ausdrückliche Einwilligung erforderlich ist. Im Beschäftigungsverhältnis ist zudem § 26 Abs. 2 BDSG zu beachten, der besondere Vorgaben, insbesondere zur Schriftform oder elektronischen Form, enthält. Bei Kindern außerhalb des Anwendungsbereichs von Art. 8 DS-GVO kommt es nach dem Kurzpapier auf die Einsichtsfähigkeit an.

Unternehmen sollten prüfen, ob ihre Einwilligungsprozesse Zweckbindung, Information, aktive Zustimmung, Widerrufsmöglichkeit und Dokumentation schlüssig abbilden. Dies betrifft vor allem Webseiten, Apps, Kundenportale und Systeme mit Tracking- oder Analysefunktionen. Eine belastbare Bewertung kann helfen, Risiken aus Beanstandungen durch Aufsichtsbehörden oder Ansprüchen betroffener Personen zu reduzieren.

Weitere Informationen: https://www.mtrlegal.com/rechtsberatung/datenschutzrecht/