Gültige Einwilligung: vier Säulen, eine Falle

Nach der GDPR ist eine gültige Einwilligung nicht bloß ein Häkchen in einem Kästchen – sie muss vier kumulative Bedingungen erfüllen. „Freiwillig erteilt“ bedeutet, dass die betroffene Person eine echte Wahl hat und bei einer Verweigerung weder Druck noch Nachteile erfährt. „Für den bestimmten Fall“ erfordert eine Einwilligung für jeden einzelnen Verarbeitungszweck und keine pauschale Zustimmung. „In informierter Weise“ verlangt eine klare und leicht verständliche Erläuterung dazu, welche Daten erhoben werden und warum. „Unmissverständlich“ bedeutet, dass die Willensbekundung der Person eindeutig sein muss, etwa durch eine aktive Zustimmung, und nicht durch Schweigen oder vorangekreuzte Kästchen erfolgen darf. Eine Website, die beispielsweise die Einwilligung zu Analysezwecken, Marketing und der Weitergabe an Dritte in einem einzigen Kontrollkästchen bündelt, erfüllt die Kriterien „für den bestimmten Fall“ und „freiwillig erteilt“ nicht.

Um eine unwirksame Einwilligung schnell zu erkennen, achten Sie auf jedes Fehlen einer echten Wahlmöglichkeit: vorangekreuzte Kästchen, die Kopplung der Einwilligung an die Nutzungsbedingungen oder Nachteile beim Widerruf. Beschreibt eine Frage ein Szenario, in dem die Einwilligung im Kleingedruckten versteckt oder mit anderen Anliegen verbunden ist, ist sie wahrscheinlich unwirksam. Ein weiterer Hinweis: Denken Sie daran, dass Schweigen oder Untätigkeit niemals als unmissverständliche Einwilligung gelten – die GDPR verlangt eine aktive, bestätigende Handlung. Behauptet ein Verantwortlicher in einer Prüfungsfrage, die Einwilligung sei durch ein vorangekreuztes Kästchen erteilt worden, können Sie dies sofort als Verstoß gegen die Anforderungen „freiwillig erteilt“ und „unmissverständlich“ kennzeichnen.

Verwenden Sie die Eselsbrücke „FSIU“ (Freely given, Specific, Informed, Unambiguous – freiwillig erteilt, für den bestimmten Fall, informiert, unmissverständlich), um sich die Grundpfeiler einzuprägen. Stellen Sie sich zum Selbsttest ein Einwilligungsformular vor: Wenn Sie nicht ohne Weiteres und ohne nachteilige Folgen „Nein“ sagen können oder das Formular verschiedene Zwecke vermischt, ist die Einwilligung unwirksam. Üben Sie, indem Sie eine gekoppelte Einwilligungserklärung in eine wirksame umformulieren und für jeden Zweck eine eigene Opt-in-Möglichkeit vorsehen. Diese aktive Übung festigt den Unterschied zwischen wirksamer und unwirksamer Einwilligung.