Aktualisiertes Kurzpapier Nr. 20 zur Einwilligung nach der DS-GVO
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat ihr Kurzpapier Nr. 20 „Einwilligung nach der DS-GVO“ aktualisiert. Die Aktualisierung wurde auf der 3. Zwischenkonferenz der Datenschutzkonferenz am 23. September 2026 beschlossen. Diese Zwischenkonferenz fand als Videokonferenz statt; den Vorsitz der Datenschutzkonferenz führt im Jahr 2026 der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Die Datenschutzkonferenz informierte mit Pressemitteilung vom 24. September 2026 über die Ergebnisse der Zwischenkonferenz. Die Mitteilung betraf neben dem aktualisierten Kurzpapier zur Einwilligung auch weitere Themen, darunter eine Orientierungshilfe zur Videoüberwachung in Fitnessstudios, Aussagen zu Smart Glasses sowie eine Entschließung zu Sicherheitsgesetzen.
Bedeutung der Einwilligung im Datenschutzrecht
Einwilligung als mögliche Rechtsgrundlage
Die Einwilligung ist eine der in der DS-GVO vorgesehenen Grundlagen für die Verarbeitung personenbezogener Daten. Sie kommt nur in Betracht, wenn die hierfür geltenden Anforderungen eingehalten werden. Das aktualisierte Kurzpapier Nr. 20 stellt die maßgeblichen Voraussetzungen zusammen und berücksichtigt dabei die Leitlinien 05/2020 des Europäischen Datenschutzausschusses zur Einwilligung gemäß Verordnung 2016/679.
Für Verantwortliche ist von erheblicher Bedeutung, dass die Einwilligung nicht lediglich formal eingeholt wird. Entscheidend ist, ob sie den Anforderungen der DS-GVO entspricht. Eine nicht wirksame Einwilligung kann die beabsichtigte Verarbeitung nicht tragen.
Kein beliebiger Wechsel der Rechtsgrundlage
Das Kurzpapier stellt klar, dass ein freier Wechsel zwischen einer Einwilligung und anderen Rechtsgrundlagen nicht möglich ist. Insbesondere kann eine unwirksame Einwilligung nicht nachträglich ohne Weiteres durch ein berechtigtes Interesse ersetzt werden. Bei Verstößen kommen nach dem Papier Bußgelder und Schadensersatzansprüche in Betracht.
Damit hebt die Datenschutzkonferenz hervor, dass die Wahl der Rechtsgrundlage nicht nur eine organisatorische Frage ist. Sie bestimmt vielmehr die Zulässigkeit der konkreten Datenverarbeitung und muss den tatsächlichen Umständen entsprechen.
Anforderungen an eine wirksame Einwilligung
Freiwilligkeit, Bestimmtheit und Informiertheit
Nach der DS-GVO setzt eine Einwilligung voraus, dass die betroffene Person freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich ihren Willen bekundet. Die betroffene Person muss erkennen können, worin sie einwilligt und für welche Verarbeitungsvorgänge die Erklärung gelten soll.
Das Kurzpapier betont damit die enge Zweckbindung der Einwilligung. Pauschale oder unklare Erklärungen genügen den Anforderungen nicht, wenn sie der betroffenen Person keine ausreichende Grundlage für ihre Entscheidung vermitteln.
Keine Schriftform im allgemeinen Fall
Nach dem Volltext des Kurzpapiers ist Schriftform für eine Einwilligung nach der DS-GVO nicht erforderlich. Ausreichend ist eine unmissverständliche Willensbekundung. Diese kann auch elektronisch oder mündlich erfolgen.
Der Begriff „elektronisch“ ist dabei nicht im Sinne des § 126a BGB zu verstehen. Es geht nicht um die elektronische Form im zivilrechtlichen Sinne, sondern um die Möglichkeit, eine Einwilligung auch über elektronische Kommunikationswege abzugeben, sofern die übrigen Anforderungen erfüllt sind.
Aktives Verhalten als Voraussetzung
Untätigkeit genügt nicht
Das aktualisierte Kurzpapier stellt heraus, dass eine Einwilligung ein aktives Verhalten der betroffenen Person voraussetzt. Nicht ausreichend sind insbesondere:
- bloßes Stillschweigen,
- voreingestellt angekreuzte Kästchen,
- reine Untätigkeit,
- die bloße Weiternutzung eines Dienstes,
- ein Verhalten wie das Weiterscrollen auf einer Internetseite.
Damit wird deutlich, dass die betroffene Person eine bewusste Entscheidung treffen muss. Die Anforderungen an das aktive Verhalten stützt das Papier ausdrücklich auf die Rechtsprechung des Europäischen Gerichtshofs in der Rechtssache C-673/17 und des Bundesgerichtshofs im Verfahren I ZR 7/16.
Bedeutung für digitale Angebote
Für digitale Dienste ist diese Klarstellung besonders relevant. Einwilligungsmechanismen müssen so ausgestaltet sein, dass die Entscheidung der betroffenen Person auf einer aktiven Handlung beruht. Ein bloß passives Verhalten lässt nach der Darstellung der Datenschutzkonferenz nicht auf eine wirksame Einwilligung schließen.
Dies betrifft insbesondere Konstellationen, in denen Cookies, Tracking-Technologien oder vergleichbare Verfahren eingesetzt werden. Die Anforderungen an die Freiwilligkeit und an die aktive Entscheidung greifen hier zusammen.
Freiwilligkeit bei Cookies und Tracking
Abhängigkeit der Dienstnutzung von Tracking-Einwilligung
Macht ein Anbieter die Nutzung eines Internetdienstes von einer Einwilligung in Cookies oder Tracking abhängig, sieht die Datenschutzkonferenz die Einwilligung regelmäßig nicht als freiwillig an, wenn keine tatsächlich gleichwertige Alternative ohne Tracking besteht. Entscheidend ist nach dieser Auffassung, ob die betroffene Person eine echte Wahlmöglichkeit hat.
Eine Einwilligung verliert nach diesem Verständnis ihre Grundlage, wenn die Nutzung des Dienstes faktisch nur gegen Zustimmung zu zusätzlichen Datenverarbeitungen möglich ist und keine gleichwertige trackingfreie Alternative bereitsteht.
Gleichwertigkeit der Alternative
Das Papier knüpft an die tatsächliche Gleichwertigkeit der Alternative an. Es genügt daher nicht, dass formal eine andere Nutzungsmöglichkeit besteht, wenn diese inhaltlich oder funktional nicht vergleichbar ist. Maßgeblich bleibt, ob die betroffene Person eine realistische und gleichwertige Ausweichmöglichkeit hat.
Die Datenschutzkonferenz ordnet diese Frage in den Rahmen der Freiwilligkeit ein. Damit wird die Wirksamkeit der Einwilligung nicht isoliert an der Erklärung selbst, sondern auch an den Umständen ihrer Einholung gemessen.
Nachweispflicht des Verantwortlichen
Dokumentation jeder einzelnen Einwilligung
Art. 7 Abs. 1 DS-GVO verpflichtet den Verantwortlichen, nachweisen zu können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Nach der Auffassung der Datenschutzkonferenz genügt es nicht, lediglich auf eine ordnungsgemäße Gestaltung der Internetseite zu verweisen.
Erforderlich ist vielmehr die Dokumentation der konkreten Einwilligungserklärung jeder einzelnen betroffenen Person. Der Nachweis muss sich somit auf die individuelle Erklärung beziehen und nicht nur auf die allgemeine technische oder gestalterische Ausgestaltung des Einwilligungsprozesses.
Reichweite der Nachweisanforderung
Die Nachweispflicht betrifft den Verantwortlichen. Er muss darlegen können, dass die jeweilige Einwilligung wirksam abgegeben wurde. Die bloße Behauptung, das eingesetzte Verfahren sei datenschutzkonform gestaltet gewesen, reicht nach dem aktualisierten Kurzpapier nicht aus.
Diese Anforderung unterstreicht, dass Einwilligungen nicht nur eingeholt, sondern auch nachvollziehbar festgehalten werden müssen. Die Dokumentation dient der Überprüfbarkeit gegenüber Aufsichtsbehörden und im Verhältnis zu betroffenen Personen.
Widerruf und besondere Fallgruppen
Widerruf der Einwilligung
Eine erteilte Einwilligung kann widerrufen werden. Nach dem Kurzpapier muss der Widerruf so einfach möglich sein wie die Erteilung der Einwilligung. Damit soll verhindert werden, dass betroffene Personen zwar leicht einwilligen können, der spätere Widerruf aber durch zusätzliche Hürden erschwert wird.
Der Widerruf wirkt für die Zukunft. Die bis zum Widerruf auf Grundlage der Einwilligung erfolgte Verarbeitung bleibt hiervon unberührt, sofern die Einwilligung bis dahin wirksam war.
Besondere Kategorien personenbezogener Daten
Für besondere Kategorien personenbezogener Daten gelten erhöhte Anforderungen. In diesen Fällen ist eine ausdrückliche Einwilligung erforderlich. Dies betrifft die in der DS-GVO besonders geschützten Datenarten, für deren Verarbeitung strengere Voraussetzungen bestehen.
Das Kurzpapier hebt damit die gesteigerte Schutzbedürftigkeit solcher Daten hervor. Die Einwilligung muss in diesen Fällen eindeutig auf die Verarbeitung dieser besonderen Datenkategorien bezogen sein.
Beschäftigungsverhältnis und Kinder
Im Beschäftigungsverhältnis ist § 26 Abs. 2 BDSG zu beachten. Danach gelten besondere Anforderungen, insbesondere zur Schriftform oder elektronischen Form der Einwilligung. Diese Sonderregelung ist neben den Vorgaben der DS-GVO zu berücksichtigen.
Bei Kindern außerhalb des Anwendungsbereichs von Art. 8 DS-GVO kommt es nach dem Kurzpapier auf die Einsichtsfähigkeit an. Maßgeblich ist daher, ob das Kind die Tragweite der Einwilligung erfassen kann.
Einordnung der aktualisierten Fassung
Zusammenhang mit weiteren DSK-Kurzpapieren
Zeitgleich wurde auch das Kurzpapier Nr. 2 zu Aufsichtsbefugnissen und Sanktionen aktualisiert. Die amtliche Behördenübersicht weist hierfür den Stand 15. September 2026 aus. Das zeigt, dass die Datenschutzkonferenz mehrere grundlegende Orientierungspapiere fortschreibt.
Das aktualisierte Kurzpapier Nr. 20 wird von Landesbehörden als nicht barrierefreie PDF-Datei mit einer Dateigröße von 275,6 KB bereitgestellt. Einzelne Landesportale führten das Papier zwischenzeitlich noch als „in Überarbeitung“.
Beschlussdatum und Veröffentlichung
Für die zeitliche Einordnung ist zwischen dem Beschluss der Aktualisierung und der öffentlichen Kommunikation zu unterscheiden. Die Aktualisierung wurde auf der 3. Zwischenkonferenz am 23. September 2026 beschlossen. Die Pressemitteilung zu den Ergebnissen dieser Zwischenkonferenz datiert vom 24. September 2026.
Maßgeblich bleibt, dass das Kurzpapier Nr. 20 in aktualisierter Fassung vorliegt und die dargestellten Anforderungen an Einwilligungen nach der DS-GVO zusammenfasst.
Nutzung und Lizenzhinweis
Die Kurzpapiere der Datenschutzkonferenz dürfen nach dem von der Datenschutzkonferenz angegebenen Nutzungshinweis ohne vorherige Rückfrage bei einer Aufsichtsbehörde kommerziell und nicht kommerziell verwendet werden. Dies umfasst insbesondere Vervielfältigung, Ausdruck, Präsentation, Veränderung, Bearbeitung, Weitergabe an Dritte sowie die Zusammenführung mit eigenen Daten oder Daten anderer zu neuen selbständigen Datensätzen.
Voraussetzung ist nach dem Nutzungshinweis, dass der Quellenvermerk angebracht wird: Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Datenlizenz Deutschland – Namensnennung – Version 2.0.
Bedeutung für Unternehmen und datenverarbeitende Stellen
Das aktualisierte Kurzpapier Nr. 20 verdeutlicht, dass Einwilligungen nach der DS-GVO an mehrere kumulative Voraussetzungen geknüpft sind. Freiwilligkeit, aktive Willensbekundung, ausreichende Information, konkrete Zweckbindung und Nachweisbarkeit müssen zusammen erfüllt sein.
Für Unternehmen, Investoren und andere Verantwortliche kann die Einordnung einzelner Verarbeitungsvorgänge erhebliche wirtschaftliche und organisatorische Bedeutung haben. Bei Fragen zur Einwilligung, zur Dokumentation oder zur datenschutzrechtlichen Bewertung digitaler Prozesse begleitet MTR Legal Unternehmen im Rahmen der Rechtsberatung im Datenschutzrecht.
