Eine Einwilligung im Datenschutz ist eine Entscheidung, mit der eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten zustimmt. Sie ist nicht einfach jede Zustimmungsschaltfläche: Nach der Datenschutz-Grundverordnung (DSGVO) muss die Willensbekundung freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich erfolgen. Die Person muss dabei durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung erkennen lassen, dass sie mit der Verarbeitung einverstanden ist.[S10][S20]
Die Einwilligung ist eine von mehreren möglichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Ob sie im konkreten Fall die passende Grundlage ist, hängt vom Zweck und der Beziehung zwischen Verantwortlichem und betroffener Person ab. Dieser Beitrag erläutert den Begriff allgemein und ersetzt keine Rechtsberatung oder Prüfung eines Einzelfalls.[S10][S20]
Die DSGVO nennt vier Kernelemente. „Freiwillig“ bedeutet, dass eine echte Wahl besteht. Wer ohne Einwilligung einen Nachteil befürchten muss oder eine notwendige Leistung nur gegen eine sachfremde Zustimmung erhält, kann möglicherweise nicht frei entscheiden. Der Europäische Datenschutzausschuss (EDSA) weist etwa darauf hin, dass die Kopplung einer nicht erforderlichen Datenverarbeitung an die Nutzung eines Dienstes die Freiwilligkeit in Frage stellen kann.[S10][S20]
„Bestimmt“ heißt: Der Zweck muss konkret genug beschrieben sein. Eine pauschale Formulierung wie „zur Verbesserung der Nutzererfahrung“ erklärt noch nicht, welche Verarbeitung erlaubt werden soll. Sollen Daten für voneinander unterscheidbare Zwecke verwendet werden, braucht es nachvollziehbare, getrennte Wahlmöglichkeiten. So bleibt sichtbar, wozu die Person gerade zustimmt.[S20]
„Informiert“ verlangt verständliche Informationen vor der Entscheidung. Dazu gehören nach den EDSA-Leitlinien mindestens Angaben zum Verantwortlichen, zu den Zwecken, zu den betroffenen Datenarten sowie zum Widerrufsrecht; je nach Verarbeitung kommen weitere Informationen hinzu. „Unmissverständlich“ setzt eine aktive, eindeutige Handlung voraus. Schweigen, bereits angekreuzte Kästchen oder bloßes Weitersurfen sind dafür keine verlässliche Zustimmungshandlung.[S10][S20]
Praktisch beginnt der Ablauf vor dem Klick: Der Verantwortliche legt fest, welche Daten für welchen Zweck verarbeitet werden sollen, und prüft, ob die Einwilligung als Rechtsgrundlage geeignet ist. Anschließend werden die Informationen und die Auswahl so bereitgestellt, dass die Person eine bewusste Entscheidung treffen kann. Stützt sich eine Verarbeitung auf Einwilligung, muss der Verantwortliche nachweisen können, dass sie erteilt wurde.[S10]
Die Entscheidung darf nicht als Blankoscheck verstanden werden. Eine Einwilligung deckt nur den angegebenen Zweck ab. Soll derselbe Datensatz später für einen anderen Zweck genutzt werden, ist dafür gegebenenfalls eine weitere Einwilligung oder eine andere tragfähige Rechtsgrundlage nötig. Die EDSA-Leitlinien beschreiben die Zweckbestimmung auch als Schutz gegen eine schleichende Ausweitung der Verarbeitung.[S20]
Einwilligungen sind außerdem widerrufbar. Nach Artikel 7 DSGVO muss der Widerruf jederzeit möglich sein; er soll so einfach sein wie die Erteilung. Der Widerruf wirkt nicht rückwirkend auf die Rechtmäßigkeit der Verarbeitung bis zu diesem Zeitpunkt. Für die weitere Verarbeitung muss der Verantwortliche aber prüfen, ob noch eine andere Rechtsgrundlage besteht oder die Verarbeitung beendet werden muss.[S10]
Auf einer Website können technisch nicht notwendige Cookies oder vergleichbare Technologien etwa für Reichweitenmessung oder personalisierte Werbung eingesetzt werden. Ein sinnvoll gestalteter Auswahlbereich trennt diese Zwecke, erklärt verständlich, welche Kategorien wofür eingesetzt werden, und lässt eine Ablehnung zu, ohne die Kernfunktion der Website unangemessen zu beschränken. Die Zustimmung zu personalisierter Werbung ist damit nicht automatisch eine Zustimmung zu jeder weiteren Analysefunktion.[S20]
Das Beispiel zeigt zwei Ebenen: Datenschutzrechtlich geht es bei personenbezogenen Daten um eine passende Rechtsgrundlage; für das Speichern oder Auslesen von Informationen auf Endeinrichtungen können zusätzlich spezielle Regeln für elektronische Kommunikation maßgeblich sein. Die EDSA-Leitlinien ordnen Online-Tracking und Cookies in diesen Zusammenhang ein. Welche Anforderungen im einzelnen Angebot gelten, hängt vom konkreten Einsatz und anwendbaren Recht ab.[S20]
Eine Einwilligung ist nicht gleichbedeutend mit jeder Verarbeitung, die eine Person erwartet. Die DSGVO nennt neben der Einwilligung weitere Rechtsgrundlagen: etwa die Erforderlichkeit zur Vertragserfüllung, die Erfüllung einer rechtlichen Verpflichtung, den Schutz lebenswichtiger Interessen, eine Aufgabe im öffentlichen Interesse oder berechtigte Interessen. Für jede Verarbeitung ist die passende Grundlage zu bestimmen; eine Einwilligung ersetzt diese Prüfung nicht.[S10][S20]
Besondere Vorsicht ist bei Abhängigkeitsverhältnissen angebracht. Gegenüber Behörden oder in Situationen mit einem deutlichen Machtungleichgewicht kann die freie Wahl eingeschränkt sein. Der EDSA betont deshalb, dass Verantwortliche nicht allein auf eine formale Zustimmung schauen dürfen, sondern die tatsächliche Wahlmöglichkeit und mögliche Nachteile bewerten müssen.[S20]
Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gilt zusätzlich das Verarbeitungsverbot aus Artikel 9 DSGVO mit ausdrücklich geregelten Ausnahmen. Die ausdrückliche Einwilligung kann eine solche Ausnahme sein, ist aber nicht die einzige und ersetzt auch dort nicht die übrigen Anforderungen der DSGVO.[S10][S20]
Eine Einwilligung ist keine Datenschutzerklärung: Die Erklärung informiert über eine Verarbeitung, während die Einwilligung eine rechtsverbindlich relevante Entscheidung der betroffenen Person sein kann. Sie ist auch nicht mit einem Vertrag gleichzusetzen. Daten, die objektiv zur Erfüllung eines Vertrags erforderlich sind, werden nicht dadurch zu einer freiwilligen Zusatzverarbeitung, dass sie in dieselbe Checkbox aufgenommen werden.[S10][S20]
Für Verantwortliche folgt daraus ein einfacher Grundsatz: Zuerst Zweck und geeignete Rechtsgrundlage bestimmen, dann Information, Auswahl, Nachweis und Widerruf passend gestalten. Für Betroffene bedeutet eine Einwilligung vor allem Kontrolle über den konkret beschriebenen Umgang mit ihren Daten – nicht eine pauschale Freigabe für künftige, unbestimmte Verwendungen.[S20]
Stand: 13. September 2026. Dieser Text dient der allgemeinen Information und ist keine Rechtsberatung.