Die Einwilligung ist ein elementarer Bestandteil der Datenschutz-Grundverordnung (DSGVO) und für viele Datenverarbeitungen die maßgebliche Rechtsgrundlage – vom Cookie-Banner auf der Website über den Newsletter bis zur Foto-Einwilligung. Um Rechtsunsicherheiten zu vermeiden, ist es daher für Verantwortliche unverzichtbar zu wissen, welche Anforderungen an eine wirksame Einwilligung gestellt werden. Eine wichtige Orientierungshilfe bietet hierfür das Kurzpapier Nr. 20 der Datenschutzkonferenz (DSK), dessen bisherige Fassung aus dem Jahr 2019 stammte. Nach sieben Jahren hat die DSK das Kurzpapier nun aktualisiert.
Dabei handelt es sich überwiegend nicht um neue Pflichten, sondern hauptsächlich um Klarstellungen und Konkretisierungen, die zeigen, welchen Maßstab die Aufsichtsbehörden in der Praxis anlegen. Dieser Beitrag stellt drei wesentliche Neuerungen vor, ordnet diese rechtlich ein und zeigt auf, wo für Verantwortliche Handlungsbedarf bestehen kann.
Cookie-Walls und „Pur-Abo“-Modelle
Eine wesentliche Änderung des neuen Kurzpapiers sind die Ausführungen zu den sogenannten „Cookie-Walls“. Als Cookie-Wall wird eine Barriere auf einer Webseite bezeichnet, die den Zugriff auf die Inhalte verweigert, solange die Websitebesuchenden nicht der Speicherung von Cookies und dem Tracking zustimmen. Das Kurzpapier von 2019 enthielt hierzu noch keine eigenen Ausführungen, sondern nur allgemeine Hinweise zum Koppelungsverbot gem. Art. 7 Abs. 4 DSGVO. Hiernach ist eine Einwilligung in der Regel nicht freiwillig, wenn die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung von einer Einwilligung in eine Datenverarbeitung abhängig gemacht wird, die dafür gar nicht erforderlich ist.
Die neue Version des Kurzpapiers stellt nun explizit klar, dass, falls die Nutzung eines Internetdienstes davon abhängig gemacht wird, dass die Websitebesuchenden in Cookies oder andere Trackingtechnologien einwilligen, regelmäßig davon auszugehen ist, dass diese Einwilligung nicht freiwillig und damit unwirksam ist. Laut DSK kann eine solche Gestaltung nur zulässig sein, wenn derselbe Anbieter einen vergleichbaren Dienst auch ohne Tracking anbietet, etwa gegen ein angemessenes Entgelt (sogenanntes „Pur-Modell“). Diese Alternative muss allerdings tatsächlich gleichwertig sein.
Verantwortliche sollten daher ihre Website auf möglicherweise implementierte Cookie-Walls hin überprüfen und diese entweder deaktivieren oder sicherstellen, dass eine tatsächliche gleichwertige Alternative ohne Tracking angeboten wird. Ansonsten erfüllt eine solche erzwungene Einwilligung nicht die rechtlichen Anforderungen und führt so zu einer unrechtmäßigen Datenverarbeitung, die beanstandet werden könnte.
Ablehnen darf nicht schwerer sein als Zustimmen
Ebenfalls neu aufgenommen wurden die Ausführungen zu der erschwerten Ablehnung: wird das Ablehnen aufwendiger gestaltet als das Einwilligen, etwa weil im Consent-Banner die Ablehnung erst auf einer zweiten Ebene möglich ist, ist die Einwilligung unwirksam. In diesem Fall lässt sich nämlich nicht feststellen, ob die Einwilligung nur erteilt wurde, weil die Möglichkeit zur Ablehnung nicht gefunden wurde oder zu umständlich war.
Rechtlich ist dies nichts Neues, da auch die Aufsichtsbehörden diese Auffassung vertreten und sie der Rechtsprechung entspricht (z. B. VG Hannover, Urteil vom 19.03.2025, Az. 10 A 5385/22 und OLG Köln, Urteil vom 19.01.2024, Az. 6 U 80/23). Als Klarstellung ist die Aufnahme in das Kurzpapier dennoch zu begrüßen, gerade aufgrund der Tatsache, dass immer noch Unmengen an Consent-Bannern weder die Anforderungen der DSGVO noch die des § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) erfüllen, der den Schutz der Privatsphäre bei Endeinrichtungen regelt.
Hierbei handelt es sich um Verstöße, die sich ohne großen Aufwand durch entsprechende Tools oder eine manuelle Prüfung feststellen lassen und welche in der Vergangenheit schon öfter Gegenstand aufsichtsbehördlicher Prüfung waren. Verantwortliche sollten daher prüfen, ob ihr Consent-Banner bereits auf der ersten Ebene eine gleichwertige Möglichkeit zur Ablehnung bietet, und falls nicht, solche auch von außen leicht erkennbare Verstöße zügig beheben.
Konkretere Anforderungen an den Nachweis
Auch zur Nachweispflicht enthält das aktualisierte Kurzpapier ausführlichere Ausführungen. Bereits in der Fassung von 2019 wies die DSK darauf hin, dass Verantwortlichen gem. Art. 7 Abs. 1 DSGVO die Erteilung einer Einwilligung nachweisen können müssen – und zwar nicht nur im Streitfall, sondern auch im Rahmen von Kontrollen durch die Aufsichtsbehörden. Neu ist, dass die DSK nun konkret beschreibt, welche Anforderungen ein solcher Nachweis erfüllen muss: Jede einzelne Einwilligungserklärung ist vom Verantwortlichen vollständig zu dokumentieren. Bei einer ausdrücklichen Einwilligung umfasst dies auch den Wortlaut der Erklärung, bei einer konkludenten Einwilligung (= Einwilligung durch schlüssiges Verhalten) sämtliche Umstände, aus denen sich die Einwilligung ergibt. Elektronisch erteilte Einwilligungen müssen zudem gespeichert werden und auf Nachfrage, etwa durch die Aufsichtsbehörde, übermittelt werden können. Kann der Verantwortliche die Einwilligung nicht nachweisen, sind die Voraussetzungen des Art. 7 Abs. 1 DSGVO nicht erfüllt.
Rechtlich handelt es sich hierbei nicht um neue Pflichten, da sich diese Anforderungen bereits aus Art. 7 Abs. 1 DSGVO selbst ergeben. Die Konkretisierung macht jedoch deutlich, welchen Maßstab die Aufsichtsbehörden bei Prüfungen anlegen. Verantwortliche sollten daher ihre bestehenden Prozesse zur Einwilligungsdokumentation – etwa bei Newsletter-Anmeldungen, Kontaktformularen oder Fotofreigaben – daraufhin überprüfen, ob sich für jede Einwilligung belegen lässt, wer wann welcher Erklärung zugestimmt hat, und die bestehenden Prozesse überarbeiten, falls erforderlich.
Fazit
Die Aktualisierung des Kurzpapiers ist insgesamt zu begrüßen. Das aktualisierte Kurzpapier hilft Verantwortlichen dabei nachzuvollziehen, welchen Maßstab Aufsichtsbehörden bei der Beurteilung einer wirksamen Einwilligung nach der DSGVO ansetzen. Verantwortliche sollten bestehende Einwilligungsprozesse überprüfen und falls erforderlich überarbeiten. So wird sichergestellt, dass für die entsprechenden Datenverarbeitungen wirksame Einwilligungen als Rechtsgrundlage eingeholt werden. Denn unwirksame oder nicht nachweisbare Einwilligungen können ansonsten aufsichtsbehördliche Maßnahmen und Bußgelder nach sich ziehen.
Keine Kommentare