Was ist eine Einwilligungserklärung? Kurz gesagt: die nachweisbare Zustimmung einer Person, dass Sie ihre Daten für einen bestimmten Zweck verarbeiten dürfen. Im Online-Marketing steckt sie hinter jedem Cookie-Banner und jeder Newsletter-Anmeldung. Ich erkläre, was die DSGVO verlangt und wie ein kleiner Betrieb das mit Bordmitteln sauber umsetzt.
Was ist eine Einwilligungserklärung? Die Definition für Unternehmen
Eine Einwilligungserklärung ist die ausdrückliche Erlaubnis einer Person, ihre personenbezogenen Daten zu verarbeiten. Die Datenschutz-Grundverordnung, kurz DSGVO, definiert sie in Artikel 4 Nummer 11. Danach muss eine Einwilligung freiwillig sein, für einen bestimmten Fall gelten, auf ausreichenden Informationen beruhen und unmissverständlich abgegeben werden. Das geschieht durch eine Erklärung oder eine eindeutige Handlung, etwa das Anklicken eines Kästchens.
Personenbezogene Daten sind dabei alle Angaben, mit denen sich ein Mensch identifizieren lässt. Dazu gehören Name und E-Mail-Adresse, aber auch die IP-Adresse oder eine Cookie-Kennung im Browser. Für den Alltag eines kleinen Betriebs heißt das: Fast jede Marketingmaßnahme im Netz berührt den Datenschutz.
Wichtig ist der Unterschied zwischen Einwilligung und Information. Eine Datenschutzerklärung auf der Website informiert nur. Sie holt keine Zustimmung ein. Eine Einwilligung entsteht erst, wenn die Person aktiv etwas tut — einen Haken setzen, auf „Akzeptieren“ klicken, eine Bestätigungsmail anklicken.
Ein Beispiel aus meiner Praxis: Ein Fahrradladen hatte unter seinem Kontaktformular den Satz „Mit dem Absenden stimmen Sie der Datenschutzerklärung zu“. Das ist keine wirksame Einwilligung für einen Newsletter. Für die Beantwortung der Anfrage brauchte der Laden sie gar nicht. Für Werbung hätte sie gefehlt.
Wann Sie eine Einwilligung brauchen und wann nicht
Eine Einwilligung ist nur eine von mehreren Rechtsgrundlagen. Artikel 6 DSGVO nennt sechs davon. Für kleine Betriebe sind vor allem drei wichtig.
- Vertrag. Wenn Sie Daten brauchen, um eine Bestellung auszuliefern oder einen Termin zu vergeben, brauchen Sie dafür keine Einwilligung.
- Rechtliche Pflicht. Rechnungen müssen Sie aufbewahren, auch ohne Zustimmung der Kundschaft.
- Berechtigtes Interesse. Manche Verarbeitungen sind erlaubt, wenn Ihr Interesse die Interessen der Person nicht überwiegt — etwa der Schutz Ihrer Website vor Angriffen.
Im Online-Marketing kommt die Einwilligung trotzdem fast immer ins Spiel. Das liegt an zwei weiteren Gesetzen. Paragraf 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG und bis Mai 2024 TTDSG genannt, verlangt eine Einwilligung, bevor Informationen auf dem Gerät eines Nutzers gespeichert oder ausgelesen werden. Ausgenommen ist nur, was technisch unbedingt erforderlich ist, etwa der Warenkorb. Analyse- und Werbe-Cookies fallen nicht darunter.
Dazu kommt Paragraf 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG). Er verlangt für Werbung per E-Mail grundsätzlich eine vorherige ausdrückliche Einwilligung. Eine Ausnahme gilt für Bestandskunden, wenn Sie ähnliche Produkte bewerben und die Person bei der Erhebung der Adresse und in jeder Mail auf ihr Widerspruchsrecht hingewiesen wurde.
Die Anforderungen der DSGVO an eine wirksame Einwilligung
Damit eine Einwilligung trägt, müssen mehrere Bedingungen gleichzeitig erfüllt sein. Fehlt eine davon, ist sie unwirksam. Die folgende Übersicht fasst Artikel 4 und Artikel 7 DSGVO zusammen.
| Anforderung | Was das bedeutet | Typischer Fehler |
|---|---|---|
| freiwillig | Die Person hat eine echte Wahl | Leistung nur gegen Einwilligung in Werbung |
| bestimmt | Ein klar benannter Zweck | „für Marketingzwecke aller Art“ |
| informiert | Wer, was, wofür, wie lange, Widerrufsrecht | Hinweis versteckt im Kleingedruckten |
| unmissverständlich | Aktive Handlung der Person | vorangekreuztes Kästchen |
| nachweisbar | Sie können die Einwilligung belegen | keine Protokollierung |
| getrennt | Klar abgesetzt von anderen Erklärungen | Einwilligung in den AGB versteckt |
Zum vorangekreuzten Kästchen gibt es ein klares Urteil. Der Europäische Gerichtshof hat 2019 im Verfahren „Planet49“ (Az. C-673/17) entschieden, dass ein bereits gesetztes Häkchen keine wirksame Einwilligung ist. Die Person muss es selbst setzen.
Besonders wichtig für die Praxis ist die Nachweispflicht aus Artikel 7 Absatz 1. Nicht die Kundin muss beweisen, dass sie nicht eingewilligt hat. Sie müssen beweisen, dass sie es hat. Wer das nicht kann, steht im Streitfall ohne Rechtsgrundlage da.
Verstöße gegen die Bedingungen der Einwilligung gehören zu den Punkten, für die Artikel 83 DSGVO den höchsten Bußgeldrahmen vorsieht: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Bei kleinen Betrieben bleiben die tatsächlichen Beträge meist weit darunter. Abmahnungen von Mitbewerbern sind im Alltag oft das größere Risiko.
Freiwilligkeit und Widerrufsrecht: Das müssen Sie beachten
Freiwilligkeit und Widerruf sind die beiden Punkte, an denen Einwilligungen in der Praxis am häufigsten scheitern. Beide lassen sich mit wenig Aufwand richtig machen.
Freiwilligkeit und Kopplungsverbot
Eine Einwilligung ist nur freiwillig, wenn die Person ohne Nachteil Nein sagen kann. Artikel 7 Absatz 4 DSGVO formuliert daraus das sogenannte Kopplungsverbot. Sie dürfen die Erfüllung eines Vertrags nicht davon abhängig machen, dass jemand in eine Verarbeitung einwilligt, die für den Vertrag nicht nötig ist.
Ein Beispiel: Ein Onlineshop, der die Bestellung nur zulässt, wenn gleichzeitig der Newsletter abonniert wird, koppelt unzulässig. Ein getrenntes, nicht vorausgewähltes Kästchen für den Newsletter löst das Problem. Bei Gewinnspielen ist die Lage umstrittener; dort sollten Sie klar und offen sagen, dass die Teilnahme an eine Werbeeinwilligung gebunden ist, und im Zweifel fachlich prüfen lassen.
Widerruf jederzeit und so einfach wie die Zustimmung
Jede Einwilligung kann jederzeit widerrufen werden. So steht es in Artikel 7 Absatz 3 DSGVO. Der Widerruf muss so einfach sein wie die Erteilung. Wer per Klick eingewilligt hat, muss auch per Klick widerrufen können, nicht per Einschreiben.
Der Widerruf wirkt für die Zukunft. Was Sie bis dahin auf Grundlage der Einwilligung getan haben, bleibt rechtmäßig. Ab dem Widerruf müssen Sie die Verarbeitung aber einstellen, zum Beispiel die Adresse aus dem Newsletter-Verteiler nehmen.
In der Praxis heißt das: Jeder Newsletter braucht einen sichtbaren Abmeldelink. Auf der Website braucht es einen dauerhaft erreichbaren Weg, die Cookie-Einstellungen zu ändern, etwa einen Link im Footer. Und Sie müssen die Person schon vor der Einwilligung darauf hinweisen, dass sie widerrufen kann.
Einwilligung bei Minderjährigen
Für Kinder und Jugendliche gelten strengere Regeln. Artikel 8 DSGVO legt fest, dass bei Online-Diensten, die sich direkt an Kinder richten, eine Einwilligung erst ab 16 Jahren allein wirksam ist. Darunter muss ein Elternteil zustimmen oder die Einwilligung des Kindes genehmigen. Die Mitgliedstaaten durften diese Grenze auf bis zu 13 Jahre senken; Deutschland hat bei 16 Jahren belassen.
Der Betreiber muss sich dabei angemessen bemühen, die Zustimmung der Eltern zu prüfen. Wie genau, schreibt die DSGVO nicht vor. Sie verlangt aber, die verfügbare Technik zu berücksichtigen.
Für die meisten kleinen Betriebe ist das Thema überschaubar. Relevant wird es, wenn Ihr Angebot junge Menschen anspricht: eine Musikschule mit Online-Anmeldung, ein Sportverein mit Newsletter, ein Shop für Gaming-Zubehör. Ein praktikabler Weg ist eine Altersabfrage im Formular. Bei unter 16-Jährigen leiten Sie dann auf eine Bestätigung durch die Eltern um.
Auch die Sprache zählt. Informationen für Kinder müssen so formuliert sein, dass sie sie verstehen. Ein Absatz in Juristendeutsch erfüllt das nicht.
Besonderheiten im Online-Marketing: Cookies, Newsletter, Telefon
Im Online-Marketing begegnet Ihnen die Einwilligung an drei Stellen besonders oft. Jede hat ihre eigenen Regeln.
Cookies und Tracking. Analyse- und Werbedienste dürfen erst laden, nachdem die Person zugestimmt hat. Ein Banner, das Google Analytics schon beim Seitenaufruf startet, ist deshalb fehlerhaft. Die Datenschutzkonferenz der Aufsichtsbehörden verlangt in ihrer Orientierungshilfe sinngemäß, dass Ablehnen ebenso einfach möglich sein muss wie Zustimmen. Google verlangt zudem seit März 2024 für Werbe- und Analysedienste im Europäischen Wirtschaftsraum, dass Einwilligungssignale übermittelt werden; das Verfahren heißt Consent Mode. Wie Sie Tags erst nach der Zustimmung auslösen, hängt eng mit Ihrem Tracking im Google Tag Manager zusammen.
Newsletter. Hier hat sich das Double-Opt-in-Verfahren durchgesetzt. Die Person trägt ihre Adresse ein und bekommt eine Mail mit Bestätigungslink. Erst nach dem Klick landet sie im Verteiler. So können Sie nachweisen, dass die Adresse wirklich ihr gehört. Wie Sie einen Newsletter von Anfang an richtig aufsetzen, steht im Beitrag über E-Mail-Marketing für kleine Unternehmen.
Telefonwerbung. Anrufe zu Werbezwecken bei Privatpersonen brauchen eine vorherige ausdrückliche Einwilligung. Seit Oktober 2021 verlangt Paragraf 7a UWG zudem, dass Sie diese Einwilligung dokumentieren und fünf Jahre aufbewahren.
Ein Hinweis zur Wirkung auf das Geschäft: Ein sauberes Banner kostet Messdaten, weil nicht alle zustimmen. Das ist kein Grund, es zu umgehen. Es ist ein Grund, die verbleibenden Daten klug zu nutzen und die Seite selbst zu verbessern, etwa mit den Wegen zur Steigerung der Konversionsrate.
Praktische Umsetzung: Einwilligung im Alltag eines kleinen Betriebs
Die gute Nachricht: Für die meisten kleinen Betriebe reichen wenige Schritte. Ich gehe sie mit Kundinnen und Kunden meist in dieser Reihenfolge durch.
- Bestandsaufnahme machen. Listen Sie auf, welche Dienste auf Ihrer Website Daten erheben: Analyse, Karten, Videos, Schriftarten, Werbepixel, Newsletter-Formular.
- Zweck je Dienst festlegen. Notieren Sie für jeden Dienst, wofür er da ist und ob er technisch unbedingt erforderlich ist.
- Banner einrichten. Nutzen Sie ein Einwilligungswerkzeug, das Dienste erst nach Zustimmung lädt und auf der ersten Ebene eine Ablehnen-Schaltfläche anbietet.
- Formulare prüfen. Trennen Sie Kontaktanfrage und Newsletter. Das Newsletter-Kästchen darf nicht vorausgewählt sein.
- Nachweis sichern. Speichern Sie Datum, Uhrzeit, Wortlaut der Einwilligung und die Bestätigung per Double-Opt-in.
- Widerruf ermöglichen. Abmeldelink in jedem Newsletter, Link zu den Cookie-Einstellungen im Footer.
Ein Mustertext für eine Newsletter-Einwilligung kann zum Beispiel so lauten: „Ja, ich möchte den monatlichen Newsletter von Fahrrad Muster mit Angeboten und Werkstatt-Tipps per E-Mail erhalten. Meine Einwilligung kann ich jederzeit über den Abmeldelink in jeder E-Mail widerrufen. Weitere Informationen stehen in der Datenschutzerklärung.“ Passen Sie Absender, Inhalt und Häufigkeit an Ihren Betrieb an.
Welche weiteren Entwicklungen kleine Betriebe gerade im Blick behalten sollten, habe ich im Überblick zu Digital-Marketing-Trends für kleine Betriebe zusammengefasst. Datenschutz und Einwilligung sind dort ein Dauerthema.
Häufige Fragen (FAQ)
Häufige Fragen
- Was muss in einer Einwilligungserklärung stehen?
- Eine Einwilligungserklärung nennt, wer die Daten verarbeitet, welche Daten es sind, zu welchem konkreten Zweck sie genutzt werden und dass die Einwilligung jederzeit widerrufen werden kann. Sie muss klar formuliert und von anderen Erklärungen wie AGB getrennt sein. Weitere Details können über einen Link zur Datenschutzerklärung folgen.
- Wann ist eine Einwilligungserklärung nach DSGVO ungültig?
- Unwirksam ist eine Einwilligung, wenn sie nicht freiwillig erteilt wurde, etwa weil eine Leistung unzulässig daran gekoppelt ist, wenn der Zweck zu unbestimmt ist, wenn die Person nicht ausreichend informiert wurde oder wenn sie nicht aktiv zugestimmt hat, zum Beispiel bei einem vorangekreuzten Kästchen.
- Wie lange ist eine erteilte Einwilligungserklärung gültig?
- Die DSGVO legt kein festes Ablaufdatum fest. Eine Einwilligung gilt, bis sie widerrufen wird oder der Zweck entfällt. Einzelne Gerichte haben jedoch angenommen, dass eine lange nicht genutzte Werbeeinwilligung ihre Wirkung verlieren kann. Wer eine Adresse jahrelang nicht angeschrieben hat, holt die Einwilligung im Zweifel neu ein.
- Muss eine Einwilligungserklärung immer schriftlich erfolgen?
- Nein. Die DSGVO verlangt keine Schriftform, eine elektronische Einwilligung per Klick genügt. Sie müssen die Einwilligung aber nachweisen können. Deshalb sollten Sie Zeitpunkt, Wortlaut und Bestätigung speichern, beim Newsletter zum Beispiel über das Double-Opt-in-Verfahren.
- Kann eine Einwilligung jederzeit widerrufen werden?
- Ja. Nach Artikel 7 Absatz 3 DSGVO kann eine Einwilligung jederzeit widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung. Er wirkt für die Zukunft: Was bis dahin geschehen ist, bleibt rechtmäßig, danach muss die Verarbeitung enden.
- Was ist der Unterschied zwischen Opt-in und Opt-out?
- Beim Opt-in stimmt die Person aktiv zu, etwa indem sie selbst ein Kästchen ankreuzt. Beim Opt-out gilt die Zustimmung als erteilt, solange die Person nicht widerspricht, zum Beispiel bei einem vorausgewählten Häkchen. Für Einwilligungen nach DSGVO ist nur das Opt-in zulässig.
