Nexvyra

Bedingungen für die Einwilligung (Art. 7 DSGVO) – Nachweispflicht, Widerruf, Koppelungsverbot

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-29 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Art. 7 DSGVO regelt nicht, was eine Einwilligung ist – das steht in Art. 4 Nr. 11 DSGVO –, sondern unter welchen Bedingungen sie wirksam ist. Vier Absätze: Der Verantwortliche muss nachweisen können, dass eingewilligt wurde (Abs. 1). Steht die Einwilligung in einer Erklärung, die noch andere Sachverhalte betrifft, muss das Ersuchen in verständlicher und leicht zugänglicher Form, in klarer und einfacher Sprache und von den anderen Sachverhalten klar unterscheidbar erfolgen (Abs. 2). Die betroffene Person kann jederzeit widerrufen, der Widerruf wirkt nur für die Zukunft und muss so einfach sein wie die Erteilung (Abs. 3). Und bei der Freiwilligkeit ist in größtmöglichem Umfang zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung in nicht erforderliche Verarbeitungen abhängig gemacht wird – das sogenannte Koppelungsverbot (Abs. 4).

Praktisch heißt das: Wer eine Einwilligung einholt, braucht eine dokumentierte, aktive Handlung der betroffenen Person, eine getrennte und verständliche Erklärung je Zweck, eine mindestens ebenso einfache Widerrufsmöglichkeit und – wo ein Vertrag im Spiel ist – eine Begründung dafür, dass die Einwilligung nicht erzwungen ist. Verstöße gegen Art. 7 fallen in den oberen Bußgeldrahmen des Art. 83 Abs. 5 Buchst. a DSGVO.

Kernfakten

PunktWert
NormArt. 7 DSGVO „Bedingungen für die Einwilligung“, Erwägungsgründe 32, 42, 43, 171 [BfDI, INFO 1 – DSGVO/BDSG Texte, S. 151]
Definition der Einwilligungjede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung [Art. 4 Nr. 11 DSGVO]
Nachweispflicht (Abs. 1)Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat; ergänzend gilt die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO [Art. 7 Abs. 1 DSGVO; DSK, OH Werbung, Nr. 3.1]
Form (Abs. 2)verständliche und leicht zugängliche Form, klare und einfache Sprache, klar unterscheidbar von anderen Sachverhalten; verordnungswidrige Teile der Erklärung sind nicht verbindlich [Art. 7 Abs. 2 DSGVO]
Widerruf (Abs. 3)jederzeit möglich, wirkt nur für die Zukunft, Belehrung vor Abgabe der Einwilligung, Widerruf muss so einfach sein wie die Erteilung [Art. 7 Abs. 3 DSGVO]
Koppelungsverbot (Abs. 4)Bei der Freiwilligkeit ist in größtmöglichem Umfang zu berücksichtigen, ob die Erfüllung eines Vertrags von einer für diese Erfüllung nicht erforderlichen Einwilligung abhängt [Art. 7 Abs. 4 DSGVO; EG 43]
Klares UngleichgewichtBei einem klaren Ungleichgewicht – insbesondere wenn der Verantwortliche eine Behörde ist – liefert die Einwilligung in der Regel keine gültige Rechtsgrundlage [EG 43; BfDI, Basiswissen Einwilligung]
Keine wirksame EinwilligungStillschweigen, bereits angekreuzte Kästchen, Untätigkeit; ebenso Weiternutzung eines Dienstes, Scrollen, Wischen oder das Nichtdurchstreichen eines vorformulierten Textes [EG 32; BfDI, Basiswissen Einwilligung]
Form der Einwilligungkeine Schriftform vorgeschrieben; die Aufsichtsbehörden raten wegen der Nachweispflicht zu Schrift- oder mindestens Textform [DSK, OH Werbung, Nr. 3.1]
Elektronische EinwilligungDouble-Opt-In geboten; das bloße Speichern von IP-Adressen genügt dem BGH als Nachweis nicht [DSK, OH Werbung, Nr. 3.3 unter Verweis auf BGH, Urt. v. 10.02.2011 – I ZR 164/09]
Kinder (Dienste der Informationsgesellschaft)wirksam ab vollendetem 16. Lebensjahr, darunter Einwilligung des Trägers der elterlichen Verantwortung [Art. 8 Abs. 1 DSGVO]
Ausdrückliche Einwilligung nötigbesondere Kategorien personenbezogener Daten (Art. 9 Abs. 2 Buchst. a) und automatisierte Einzelentscheidungen (Art. 22 Abs. 2 Buchst. c) [BfDI, Basiswissen Einwilligung]
Bußgeldrahmenbis zu 20 000 000 EUR oder bis zu 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist [Art. 83 Abs. 5 Buchst. a DSGVO]
Nationale Parallelnorm§ 51 BDSG überträgt die Bedingungen wortgleich in den Anwendungsbereich von Teil 3 BDSG (JI-Richtlinie) [gesetze-im-internet.de, bdsg_2018/__51.html]
Einwilligung im ArbeitsverhältnisFreiwilligkeit ist anhand der Abhängigkeit und der Umstände der Erteilung zu beurteilen; Aufklärung über Zweck und Widerrufsrecht nach Art. 7 Abs. 3 DSGVO in Textform [§ 26 Abs. 2 BDSG]

Geltungsbereich

Art. 7 DSGVO gilt immer dann, wenn eine Verarbeitung auf eine Einwilligung gestützt wird – also auf Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO, auf Art. 9 Abs. 2 Buchst. a DSGVO bei besonderen Datenkategorien oder auf Art. 49 Abs. 1 Buchst. a DSGVO beim Drittlandtransfer. Die Norm gilt für öffentliche wie nichtöffentliche Verantwortliche gleichermaßen; sie enthält keine Bereichsausnahmen.

Die Einwilligung ist dabei nur eine von sechs Rechtsgrundlagen. Der BfDI weist ausdrücklich darauf hin, dass jede Verarbeitung eine der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen erfüllen muss; besteht bereits eine tragfähige andere Grundlage – etwa Vertragserfüllung nach Buchst. b oder eine rechtliche Verpflichtung nach Buchst. c –, wird die Verarbeitung nicht dadurch rechtmäßiger, dass zusätzlich eine Einwilligung eingeholt wird. Umgekehrt lässt sich eine auf Einwilligung gestützte Verarbeitung nach einem Widerruf nicht ohne Weiteres auf eine andere Rechtsgrundlage umstellen.

Für den Bereich der Richtlinie (EU) 2016/680 (Datenverarbeitung durch Justiz- und Polizeibehörden) gilt Art. 7 DSGVO nicht unmittelbar. Dort greift § 51 BDSG, der die Bedingungen nahezu wortgleich übernimmt und in Abs. 4 und 5 zwei zusätzliche Anforderungen stellt: Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung der betroffenen Person beruht, und bei besonderen Kategorien personenbezogener Daten muss sie sich ausdrücklich auf diese Daten beziehen.

Die vier Absätze im Einzelnen

Absatz 1 – Nachweispflicht. Der amtliche Wortlaut: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Es handelt sich um eine Ausprägung der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO. Die Aufsichtsbehörden leiten daraus keine Formvorschrift ab, wohl aber eine Dokumentationsobliegenheit: Da die Erteilung einer wirksamen Einwilligung – etwa gegenüber der Aufsichtsbehörde – nachgewiesen werden muss, ist laut BfDI eine Form zu wählen, die diesen Nachweis durch entsprechende Dokumentation ermöglicht.

Absatz 2 – Trennungs- und Transparenzgebot. Erfolgt die Einwilligung durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, muss das Ersuchen „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist“. Satz 2 ergänzt: „Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.“ Die DSK verlangt daraus abgeleitet regelmäßig einen gesonderten Text oder Textabschnitt ohne anderen Inhalt.

Absatz 3 – Widerruf. Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht – er wirkt also nur ex nunc. Vor Abgabe der Einwilligung ist die betroffene Person hierüber in Kenntnis zu setzen. Satz 4 stellt die praktisch wichtigste Anforderung auf: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.“

Absatz 4 – Koppelungsverbot. Der Wortlaut formuliert kein striktes Verbot, sondern eine Abwägungsdirektive: Bei der Beurteilung der Freiwilligkeit „muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden“, ob die Erfüllung eines Vertrags einschließlich der Erbringung einer Dienstleistung von einer Einwilligung in nicht erforderliche Verarbeitungen abhängig ist. Erwägungsgrund 43 wird deutlicher: Die Einwilligung gilt in einem solchen Fall nicht als freiwillig erteilt – ebenso wenig, wenn zu verschiedenen Verarbeitungsvorgängen nicht gesondert eingewilligt werden kann, obwohl dies im Einzelfall angebracht wäre. Der BfDI fasst die Wirkung so zusammen, dass die Erfüllung eines Vertrages oder die Erbringung einer Dienstleistung nicht von einer Einwilligung in nicht erforderliche Verarbeitungen abhängig gemacht werden darf.

Was Rechtsprechung und Aufsicht zur Bestimmtheit sagen

Der BGH hat im Urteil vom 28.05.2020 – I ZR 7/16 (Cookie-Einwilligung II) zur Reichweite einer Werbeeinwilligung entschieden. Amtlicher Leitsatz 1: Eine wirksame Einwilligung liegt nicht vor, „wenn der Verbraucher bei der Erklärung der Einwilligung mit einem aufwendigen Verfahren der Abwahl von in einer Liste aufgeführten Partnerunternehmen konfrontiert wird, das ihn dazu veranlassen kann, von der Ausübung dieser Wahl Abstand zu nehmen und stattdessen dem Unternehmer die Wahl der Werbepartner zu überlassen“. Weiß der Verbraucher mangels Kenntnisnahme vom Inhalt der Liste nicht, welche Unternehmen die Einwilligung erfasst, liegt „keine Einwilligung für den konkreten Fall“ vor. Die Entscheidung betraf zwar § 7 Abs. 2 UWG, trifft aber denselben Bestimmtheitsmaßstab, den Art. 4 Nr. 11 DSGVO mit der Formulierung „für den bestimmten Fall“ aufstellt.

Zur Nachweisführung bei elektronischen Einwilligungen hält die Datenschutzkonferenz das Double-Opt-In-Verfahren für geboten. Das bloße Abspeichern der IP-Adressen von Anschlussinhabern und die Behauptung, es liege eine Einwilligung vor, genügen dem BGH (Urteil vom 10.02.2011 – I ZR 164/09) nicht; erforderlich sei mehr, etwa die Protokollierung des gesamten Opt-In-Verfahrens und des Inhalts der Einwilligung. Für Telefonnummern, die über Website-Eintragungen erlangt wurden, reicht eine Bestätigungs-E-Mail nach Auffassung der DSK ohnehin nicht aus, weil sich damit die Identität zwischen dem Erklärenden und dem Anschlussinhaber nicht nachweisen lässt.

Der Europäische Datenschutzausschuss hat seine Auslegung in den Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679 niedergelegt; der BfDI verweist für die vertiefte Einarbeitung ausdrücklich auf dieses Dokument.

Ausnahmen

Häufige Fehler

Beispiel

Ein Online-Shop lässt Kundinnen und Kunden im Bestellprozess ein einziges Kästchen anhaken: „Ich akzeptiere die AGB und willige ein, dass meine E-Mail-Adresse und meine Telefonnummer für Werbung durch den Betreiber und seine Partnerunternehmen genutzt werden.“ Die Partnerunternehmen stehen in einer verlinkten Liste mit 60 Einträgen, die einzeln abgewählt werden können.

Diese Konstruktion verstößt gleich mehrfach: Vertragsannahme und datenschutzrechtliche Einwilligung sind nicht klar unterscheidbar (Art. 7 Abs. 2 DSGVO), es wird nicht je Zweck gesondert eingewilligt (EG 32, 43), und nach BGH I ZR 7/16 fehlt die Einwilligung „für den konkreten Fall“, wenn das Abwahlverfahren so aufwendig ist, dass es von der Ausübung der Wahl abhält. Wird die Bestellung zudem ohne das Häkchen nicht abgeschlossen, greift das Koppelungsverbot des Art. 7 Abs. 4 DSGVO: Werbung per E-Mail und Telefon ist für die Erfüllung des Kaufvertrags nicht erforderlich. Für die Telefonnummer scheitert der Nachweis nach Auffassung der DSK ohnehin, weil ein Double-Opt-In per E-Mail die Identität des Anschlussinhabers nicht belegt.

Quellen

Siehe auch

Änderungsverlauf

Stand