DSGVO-Einwilligungsanforderungen: Was gilt als wirksame Einwilligung? (2026)
Nach Art. 4 Nr. 11 der DSGVO muss eine wirksame Einwilligung vier kumulative Bedingungen erfüllen: Die betroffene Person muss sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung abgeben. Art. 7 verpflichtet Verantwortliche zudem, diese Einwilligung zu dokumentieren, einen einfachen Widerruf zu ermöglichen und den Zugang zu einer Dienstleistung nicht von der Zustimmung zu nicht erforderlichen Verarbeitungen abhängig zu machen.
Die Einwilligung ist eine von sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten nach der DSGVO. Stützt sich eine Organisation darauf, gelten strenge Maßstäbe. Eine in den Allgemeinen Geschäftsbedingungen versteckte Datenschutzerklärung genügt nicht. Ein bereits angekreuztes Kästchen genügt nicht. Bloße Untätigkeit genügt nicht.
Wird die Einwilligung fehlerhaft eingeholt, drohen Bußgelder der Aufsichtsbehörden. Geschieht dies in großem Umfang, wie Google und SHEIN im September 2025 erfahren mussten, können Strafen in neunstelliger Höhe die Folge sein. Dieser Leitfaden erklärt, welche Anforderungen an eine wirksame Einwilligung gestellt werden, wann die Einwilligung die richtige Rechtsgrundlage ist (und wann nicht) und was die regulatorischen Entwicklungen der Jahre 2024 bis 2026 in der Praxis bedeuten.
Einen umfassenden Überblick über die Verordnung finden Sie unter Was ist die DSGVO. Die cookie-spezifischen Regeln erläutert der Leitfaden zur ePrivacy-Richtlinie. Ein schrittweises Compliance-Programm bietet die DSGVO-Compliance-Checkliste.
Dieser Beitrag dient ausschließlich der Information und stellt keine Rechtsberatung dar. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Datenschutzanwältin, einen qualifizierten Datenschutzanwalt oder eine Fachperson für Datenschutz.
Kurz erklärt: Was macht eine Einwilligung nach der DSGVO wirksam?
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist".
Alle vier Elemente müssen gleichzeitig vorliegen. Fehlt auch nur eines, ist die Einwilligung insgesamt unwirksam.
- Freiwillig: echte Wahlmöglichkeit, kein Zwang, keine Kopplung an sachfremde Bedingungen
- Für den bestimmten Fall: gesonderte Einwilligung für jeden einzelnen Zweck
- Informiert: klare, verständliche Erläuterung von Wer, Was und Warum, bevor die betroffene Person entscheidet
- Unmissverständlich: eine aktive Zustimmungshandlung; Schweigen oder Untätigkeit genügen niemals
Art. 7 legt darüber hinaus fest, wie eine einmal erteilte Einwilligung zu verwalten ist. Die Leitlinien 05/2020 des EDSA zur Einwilligung bleiben die maßgebliche Auslegung dieser Anforderungen.
Die vier Elemente im Detail
1. Freiwillig
Eine Einwilligung ist nur wirksam, wenn die betroffene Person eine echte, freie Wahl hat und eine Ablehnung ohne Nachteile möglich ist.
Ungleichgewicht der Kräfte. Besteht zwischen dem Verantwortlichen und der betroffenen Person ein erhebliches Ungleichgewicht, ist eine freiwillige Einwilligung unwahrscheinlich. Das deutlichste Beispiel ist das Arbeitsverhältnis. Beschäftigte haben häufig das Gefühl, die Datenverarbeitungswünsche ihres Arbeitgebers praktisch nicht ablehnen zu können. Die Leitlinien des EDSA warnen, dass die Einwilligung in den meisten arbeitsrechtlichen Zusammenhängen gerade wegen dieser Asymmetrie keine wirksame Rechtsgrundlage darstellt.
Kopplungsverbot. Nach Art. 7 Abs. 4 dürfen Organisationen die Einwilligung in nicht erforderliche Verarbeitungen nicht an den Zugang zu einer Dienstleistung koppeln. Verlangt ein Online-Shop von Kundinnen und Kunden, der Zusendung von Marketing-E-Mails zuzustimmen, um einen Kauf abzuschließen, ist diese Einwilligung unwirksam. Sie ist nicht freiwillig, wenn eine Ablehnung den Zugang zur Dienstleistung verhindert.
Granularität. Ein einziges Kästchen mit der Aufschrift „Ich stimme allen Datennutzungen zu", das mehrere voneinander unabhängige Zwecke abdeckt, erfüllt nicht das Erfordernis der Spezifität und schränkt die Wahlfreiheit ein. Betroffene Personen müssen einzelne Zwecke unabhängig voneinander annehmen oder ablehnen können.
Keine Benachteiligung. Die Ablehnung oder der Widerruf der Einwilligung dürfen über das unbedingt Notwendige hinaus keine Nachteile, eingeschränkte Leistungen oder einen eingeschränkten Zugang zur Folge haben. Reduziert eine Plattform Funktionen für Nutzerinnen und Nutzer, die eine optionale Datenverarbeitung ablehnen, ist auch die von den Zustimmenden erteilte Einwilligung angreifbar.
2. Für den bestimmten Fall
Die Einwilligung muss sich auf jeden einzelnen Verarbeitungszweck beziehen. Eine pauschale Einwilligung, die sämtliche aktuellen und künftigen Datennutzungen abdeckt, ist unwirksam.
Die Leitlinien des EDSA verlangen für jede eigenständige Verarbeitung eine gesonderte Einwilligungsanfrage. Erhebt eine Organisation E-Mail-Adressen für einen Newsletter und möchte sie zusätzlich an Werbepartner weitergeben, sind zwei getrennte Einwilligungsanfragen erforderlich, die unabhängig voneinander präsentiert werden, nicht unter einem einzigen Kästchen zusammengefasst.
Eine schleichende Zweckausweitung ist ein häufiges Problem. Möchte eine Organisation Daten später für einen Zweck nutzen, der von der ursprünglichen Einwilligung nicht erfasst war, kann sie sich nicht einfach auf diese ursprüngliche Einwilligung berufen. Sie muss eine neue, spezifische Einwilligung für den neuen Zweck einholen oder eine andere Rechtsgrundlage heranziehen.
3. Informiert
Betroffene Personen müssen ausreichend informiert sein, um vor der Einwilligung eine fundierte Entscheidung treffen zu können. Die Leitlinien der Europäischen Kommission benennen die folgenden Angaben, die zum Zeitpunkt der Einwilligungsanfrage offengelegt werden müssen:
- Die Identität des Verantwortlichen
- Der konkrete Zweck jeder einzelnen Verarbeitung
- Die Art der zu erhebenden und zu verarbeitenden Daten
- Das Recht, die Einwilligung jederzeit zu widerrufen
- Ob die Daten für automatisierte Entscheidungen oder Profiling verwendet werden
- Gegebenenfalls etwaige internationale Datenübermittlungen
Diese Angaben müssen in klarer, verständlicher Sprache erfolgen. Werden sie hinter einem Link zu einer langen Datenschutzerklärung versteckt oder in Juristendeutsch formuliert, ist die Informationspflicht nicht erfüllt. Der EDSA vertritt durchgehend die Auffassung, dass mehrstufige Hinweise (kurze Zusammenfassungen mit zugänglichen Links zu weiteren Details) zulässig sind, die Kerninformationen jedoch bereits vor der Einwilligungshandlung tatsächlich zugänglich und verständlich sein müssen.
4. Unmissverständlich (eindeutige bestätigende Handlung)
Die DSGVO und Erwägungsgrund 32 sind eindeutig: Schweigen, bereits angekreuzte Kästchen und Untätigkeit stellen keine Einwilligung dar.
Zu den zulässigen bestätigenden Handlungen zählen:
- Das aktive Ankreuzen eines zuvor leeren Zustimmungskästchens
- Das Anklicken einer Schaltfläche „Ich stimme zu" oder „Akzeptieren", sofern die Informationen zur Verarbeitung klar dargestellt sind
- Die gezielte Auswahl von Einstellungen in einem Datenschutz-Dashboard
- Die Unterzeichnung eines schriftlichen Einwilligungsformulars
- Eine mündliche Erklärung (deren Dokumentation allerdings schwierig ist)
Das Scrollen durch eine Seite, das bloße Verbleiben auf einer Website nach Erscheinen eines Hinweises oder das Unterlassen des Entfernens eines Häkchens sind keine bestätigenden Handlungen. Das Planet49-Urteil (EuGH, Rechtssache C-673/17, Oktober 2019) hat dies abschließend geklärt: Der Gerichtshof entschied, dass ein bereits angekreuztes Kästchen weder nach der ePrivacy-Richtlinie noch nach der DSGVO eine wirksame Einwilligung darstellt, da es kein aktives Verhalten der Nutzerin oder des Nutzers widerspiegelt.
Die Anforderungen des Art. 7 an die Verwaltung der Einwilligung
Art. 4 Nr. 11 definiert, was eine Einwilligung ist. Art. 7 regelt, wie sie nach ihrer Erteilung zu verwalten ist.
Nachweispflicht (Art. 7 Abs. 1)
Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat. Dabei handelt es sich um eine fortlaufende Pflicht, nicht um ein einmaliges Ereignis. Die Leitlinien des ICO zur Dokumentation der Einwilligung empfehlen die Dokumentation folgender Angaben:
- Wer eingewilligt hat (mit ausreichenden Angaben zur Identifizierung der Person)
- Wann die Einwilligung erteilt wurde (Datum und Uhrzeit)
- Welche Informationen zu diesem Zeitpunkt bereitgestellt wurden (der genaue Wortlaut der Einwilligungserklärung oder des vorgelegten Formulars)
- Wie die Einwilligung erteilt wurde (Online-Kästchen, mündlich, unterschriebenes Formular)
- Ob die Einwilligung zwischenzeitlich widerrufen wurde und wann
Die bloße Speicherung eines Merkers wie „Einwilligung = wahr" reicht nicht aus. Ändert sich die Einwilligungserklärung später, müssen Versionshistorien aufbewahrt werden, damit die Organisation nachweisen kann, wozu die jeweilige Person zum jeweiligen Zeitpunkt genau eingewilligt hat.
Verständlichkeit und Zugänglichkeit (Art. 7 Abs. 2)
Wird die Einwilligung im Rahmen einer schriftlichen Erklärung abgegeben, die auch andere Sachverhalte betrifft (etwa Allgemeine Geschäftsbedingungen), muss das Einwilligungsersuchen klar von den anderen Sachverhalten zu unterscheiden sein, in verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache erfolgen. Verstößt eine Bestimmung gegen die DSGVO, ist sie nicht bindend.
Widerrufsrecht (Art. 7 Abs. 3)
Zwei Regeln sind nicht verhandelbar.
Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung. Wurde die Einwilligung mit einem Klick erteilt, muss auch der Widerruf mit höchstens einem Klick möglich sein. Wird für den Widerruf einer durch Ankreuzen erteilten Einwilligung ein Telefonanruf, ein Brief oder das Navigieren durch mehrere Kontoeinstellungen verlangt, liegt ein Verstoß vor. Durchsetzungsmaßnahmen haben diesen Verstoß bereits direkt benannt.
Über das Widerrufsrecht muss bereits vor der Einwilligung informiert werden. Eine Information über das Widerrufsrecht erst nach erfolgter Einwilligung erfüllt die Anforderungen des Art. 7 Abs. 3 nicht.
Der Widerruf wirkt nicht rückwirkend. Verarbeitungen, die während der Wirksamkeit der Einwilligung stattgefunden haben, bleiben rechtmäßig. Die Organisation muss jedoch jede auf der Einwilligung beruhende Verarbeitung ab sofort einstellen.
Kopplungsverbot (Art. 7 Abs. 4)
Hier ist das Kopplungsverbot verankert: Bei der Beurteilung, ob eine Einwilligung freiwillig erteilt wurde, ist dem Umstand in größtmöglichem Umfang Rechnung zu tragen, ob unter anderem die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung abhängig gemacht wird, die für die Erfüllung dieses Vertrags nicht erforderlich ist.
Die Einwilligung im Vergleich zu den fünf weiteren Rechtsgrundlagen
Die Einwilligung ist nur eine von sechs Rechtsgrundlagen nach Art. 6. Viele Organisationen greifen standardmäßig auf die Einwilligung zurück, obwohl eine andere Rechtsgrundlage einfacher, stabiler und rechtlich tragfähiger wäre.
| Rechtsgrundlage | Wann sie anwendbar ist |
|---|---|
| Vertragserfüllung (Art. 6 Abs. 1 lit. b) | Die Verarbeitung ist zur Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf deren Anfrage erforderlich |
| Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | Die Verarbeitung ist nach EU-Recht oder dem Recht eines Mitgliedstaats vorgeschrieben (zum Beispiel Steuermeldungen, Geldwäscheprävention) |
| Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d) | Schutz des Lebens einer Person, die nicht einwilligen kann |
| Öffentliche Aufgabe (Art. 6 Abs. 1 lit. e) | Ausübung öffentlicher Gewalt oder Wahrnehmung einer Aufgabe im öffentlichen Interesse |
| Berechtigte Interessen (Art. 6 Abs. 1 lit. f) | Die Interessen des Verantwortlichen oder eines Dritten überwiegen nach einer dokumentierten Interessenabwägung die Rechte der betroffenen Person |
| Einwilligung (Art. 6 Abs. 1 lit. a) | Die betroffene Person stimmt der konkreten Verarbeitung freiwillig zu |
Warum eine unbedachte Wahl der Einwilligung Probleme schafft. Die Einwilligung erzeugt einen fortlaufenden Verwaltungsaufwand: Nachweise müssen geführt, Widerrufsmöglichkeiten bereitgestellt, bei Zweckänderungen erneut Einwilligungen eingeholt und Widerrufe bearbeitet werden. Ist eine andere Rechtsgrundlage tatsächlich einschlägig, ist es fast immer praktischer, diese zu nutzen. Die Leitlinien des ICO zur Angemessenheit der Einwilligung empfehlen die Einwilligung nur dann, wenn den betroffenen Personen tatsächlich eine fortlaufende Kontrolle über eine ansonsten nicht erforderliche Verarbeitung eingeräumt werden soll.
Organisationen können die Rechtsgrundlage auch nicht nachträglich wechseln. Wird die Einwilligung widerrufen, kann die Organisation nicht einfach erklären, sie habe sich von Anfang an auf berechtigte Interessen gestützt, es sei denn, diese Rechtsgrundlage lag tatsächlich von Beginn an vor und wurde entsprechend dokumentiert.
Ausdrückliche Einwilligung bei besonderen Kategorien personenbezogener Daten
Art. 9 untersagt die Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten, genetische Daten, rassische und ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zum Sexualleben oder zur sexuellen Orientierung), sofern nicht eine der ausdrücklich genannten Ausnahmen greift. Eine dieser Ausnahmen ist die „ausdrückliche Einwilligung".
Die ausdrückliche Einwilligung stellt höhere Anforderungen als die gewöhnliche Einwilligung. Erforderlich sind:
- Eine klare, ausdrückliche Erklärung, die konkret auf die betreffende Kategorie sensibler Daten und den Verarbeitungszweck Bezug nimmt
- Eine aktive, unmissverständliche Bestätigung; eine stillschweigende oder implizit angenommene Einwilligung genügt bei besonderen Datenkategorien niemals
- Eine von einer allgemeinen Einwilligung zu anderen Verarbeitungen getrennte Einwilligung
Eine allgemeine Formulierung wie „Ich stimme der Verarbeitung meiner Daten zu" erfüllt bei Gesundheitsdaten nicht die Anforderungen an eine ausdrückliche Einwilligung. Die Einwilligung muss die Datenart und den Zweck ausdrücklich benennen.
Einwilligung von Kindern (Art. 8)
Art. 8 stellt zusätzliche Anforderungen, wenn Dienste der Informationsgesellschaft direkt Kindern angeboten werden. Dazu zählen soziale Netzwerke, Apps, Online-Spiele, Streaming-Dienste und die meisten kommerziellen Websites, die personenbezogene Daten erheben.
Altersgrenzen in Europa
Die DSGVO legt die Standardaltersgrenze auf 16 Jahre fest. Unterhalb dieses Alters ist die Einwilligung der Eltern erforderlich. Die Mitgliedstaaten können diese Grenze auf mindestens 13 Jahre absenken. Das Ergebnis ist ein uneinheitliches Bild:
| Alter | Länder |
|---|---|
| 13 | Belgien, Tschechien, Dänemark, Estland, Finnland, Lettland, Malta, Portugal, Schweden |
| 14 | Österreich, Bulgarien, Zypern, Italien, Litauen, Spanien |
| 15 | Frankreich, Griechenland, Slowenien |
| 16 | Deutschland, Ungarn, Irland, Luxemburg, Niederlande, Polen, Rumänien, Slowakei |
Ein Dienst, der in mehreren EU-Mitgliedstaaten tätig ist, muss für Nutzerinnen und Nutzer jeweils die im betreffenden Land geltende Altersgrenze anwenden und nicht ein einheitliches EU-weites Alter.
Verifizierung und Altersnachweis
Art. 8 Abs. 2 verlangt „angemessene Anstrengungen", um zu überprüfen, dass die elterliche Einwilligung tatsächlich erteilt wurde. Was als angemessen gilt, richtet sich nach den Risiken der jeweiligen Verarbeitung. Die Stellungnahme 1/2025 des EDSA zur Altersverifizierung befasst sich mit der zunehmenden Nutzung technischer Altersverifizierungswerkzeuge und erkennt an, dass Altersschätzung, Altersverifizierung und Selbstauskunft unterschiedliche, jeweils risikoabhängige Sicherheitsniveaus darstellen.
Altersverifizierung gewinnt auch im Rahmen des Digital Services Act an Bedeutung, der sehr großen Online-Plattformen gesonderte Pflichten in Bezug auf Minderjährige auferlegt. Die Leitlinien 3/2025 des EDSA zum Zusammenspiel von DSA und DSGVO befassen sich mit dem Zusammenwirken dieser beiden Regelwerke.
Präventions- und Beratungsdienste
Art. 8 gilt nicht für Beratungs- und Präventionsdienste, die Kindern unmittelbar zu deren Schutz angeboten werden. Solche Dienste dürfen die Daten von Kindern ohne elterliche Einwilligung verarbeiten, wenn eine Einbeziehung der Eltern dem Kindeswohl entgegenstünde.
Cookie-Einwilligung und die ePrivacy-Richtlinie
Die Cookie-Einwilligung richtet sich derzeit nach der ePrivacy-Richtlinie (Richtlinie 2002/58/EG) und nicht unmittelbar nach der DSGVO. Sind bei Cookies personenbezogene Daten betroffen, gilt für die anschließende Verarbeitung dieser Daten die DSGVO, während die Erlaubnis zum Setzen des Cookies selbst der ePrivacy-Richtlinie unterliegt. Den vollständigen rechtlichen Rahmen erläutert der Leitfaden zur ePrivacy-Richtlinie.
Die zentrale Regel: Einwilligung ist bei nicht erforderlichen Cookies zwingend
Ein berechtigtes Interesse kann nicht als Grundlage für das Setzen nicht erforderlicher Cookies herangezogen werden. Die ePrivacy-Richtlinie verlangt für die Speicherung von Informationen auf dem Endgerät einer Nutzerin oder eines Nutzers eine Einwilligung. Diese Einwilligung muss sämtliche Anforderungen der DSGVO erfüllen. Dies wurde im Planet49-Urteil (Rechtssache C-673/17) bestätigt und wird in den Cookie-Leitlinien praktisch aller großen Aufsichtsbehörden wiederholt.
Cookies, die eine Einwilligung erfordern
- Analyse- und Messcookies (Google Analytics und vergleichbare Werkzeuge)
- Werbe- und Cookies zum verhaltensbasierten Tracking
- Social-Media-Plugins und Teilen-Schaltflächen
- Personalisierungs-Cookies, die für die Dienstleistung nicht unbedingt erforderlich sind
Cookies, die keine Einwilligung erfordern
Unbedingt erforderliche Cookies sind ausgenommen. Dazu zählen:
- Sitzungsverwaltung (Warenkorb, Anmeldestatus)
- Cookies zur Sicherheit und Betrugsprävention
- Token zur Lastverteilung
- Cookies für Nutzereinstellungen wie Barrierefreiheit oder Spracheinstellungen
Anforderungen an Cookie-Banner
Der Bericht der Cookie-Banner-Taskforce des EDSA benennt die häufigsten Verstöße:
- Fehlende Option „Alle ablehnen" auf der ersten Ebene (wodurch die Ablehnung schwieriger ist als die Annahme)
- Bereits angekreuzte Kästchen für optionale Cookies
- Irreführende Gestaltungsmuster, die Nutzerinnen und Nutzer zur Annahme drängen
- Berufung auf ein berechtigtes Interesse als Grundlage für Werbe-Cookies
- Ein Widerruf der Cookie-Einwilligung, der schwieriger ist als ihre Erteilung
Die Leitlinien 03/2022 des EDSA zu irreführenden Gestaltungsmustern behandeln die Manipulation von Bannern im Detail und gelten gleichermaßen für soziale Netzwerke wie für andere Online-Dienste.
Das Modell „Einwilligung oder Bezahlung" und die Stellungnahme 08/2024 des EDSA
Große Online-Plattformen bieten Nutzerinnen und Nutzern zunehmend eine binäre Wahl: entweder in verhaltensbasierte Werbung einwilligen oder ein Abonnement bezahlen. Im April 2024 veröffentlichte der EDSA seine Stellungnahme 08/2024, die auf Anfrage der niederländischen, der norwegischen und der Hamburger Datenschutzbehörde erging.
Kernaussage. In den meisten Fällen kann eine große Online-Plattform die Anforderungen an eine wirksame Einwilligung nicht erfüllen, wenn sie Nutzerinnen und Nutzern nur die binäre Wahl zwischen der Einwilligung in verhaltensbasierte Werbeverarbeitung oder der Zahlung eines Entgelts lässt. Die Stellungnahme erklärt solche Modelle nicht generell für rechtswidrig, stellt jedoch strenge Bedingungen auf.
Was die Stellungnahme verlangt:
- Die Option „Einwilligung" muss tatsächlich alle vier Bedingungen der DSGVO für eine wirksame Einwilligung erfüllen, einschließlich der Freiwilligkeit.
- Die kostenpflichtige Alternative muss ein tatsächlich gleichwertiger Dienst sein und keine eingeschränkte Version.
- Plattformen sollten die Einführung einer dritten Option in Betracht ziehen: einen Zugang, der durch kontextbezogene (nicht verhaltensbasierte) Werbung finanziert wird und keine über die reine Inhaltsanzeige hinausgehende Verarbeitung personenbezogener Daten erfordert.
- Das verlangte Entgelt darf nicht so hoch angesetzt sein, dass es Nutzerinnen und Nutzer, die es sich nicht leisten können, faktisch zur Einwilligung zwingt.
Der EDSA hat sich verpflichtet, umfassendere Leitlinien zu „Einwilligung oder Bezahlung"-Modellen mit breiterem Anwendungsbereich zu erarbeiten. Im November 2024 fand dazu eine Konsultationsveranstaltung mit Interessenträgern statt.
Diese Stellungnahme ist unmittelbar relevant für soziale Netzwerke, Nachrichtenverlage und jeden Dienst, der eine abonnementbasierte Alternative zum werbefinanzierten kostenlosen Zugang eingeführt hat oder in Erwägung zieht.
DMA und DSGVO: Pflichten für Torwächter
Für Plattformen, die nach dem Digital Markets Act (DMA) als „Torwächter" eingestuft sind, gelten zusätzliche Einschränkungen. Im Jahr 2025 veröffentlichten EDSA und Europäische Kommission gemeinsame Leitlinien zum Zusammenspiel von DMA und DSGVO. Diese erläutern, wie Torwächter Art. 5 Abs. 2 DMA, der eine gesonderte Auswahlmöglichkeit und eine wirksame Einwilligung für die Zusammenführung personenbezogener Daten über zentrale Plattformdienste hinweg verlangt, so umsetzen müssen, dass zugleich die DSGVO eingehalten wird. Für Plattformen, die zugleich DMA-Torwächter sind und der DSGVO unterliegen, gelten beide Regelwerke gleichzeitig.
Häufige Fehler bei der Einwilligung
Durchsetzungsentscheidungen der Aufsichtsbehörden und Prüfergebnisse des EDSA benennen immer wieder dieselben Mängel. Die häufigsten sind:
1. Die Einwilligung als Standardgrundlage behandeln, ohne Alternativen zu prüfen. Viele Organisationen kaschieren Verarbeitungen mit einer Einwilligung, obwohl sich diese eigentlich rechtmäßig auf die Vertragserfüllung oder ein berechtigtes Interesse stützen ließen. Dies erzeugt unnötige Widerrufspflichten und erschwert den Betrieb, sobald Nutzerinnen und Nutzer später ihr Widerrufsrecht ausüben.
2. Bereits angekreuzte Kästchen oder fehlende Ablehnungsoption. Nach wie vor der am häufigsten festgestellte Verstoß bei der Cookie-Einwilligung. Die Ablehnungsoption muss auf der ersten Ebene jedes Cookie-Banners genauso deutlich sichtbar und genauso einfach zu nutzen sein wie die Annahmeoption.
3. Den Widerruf schwieriger machen als die Erteilung der Einwilligung. Wird für den Widerruf einer per Knopfdruck erteilten Einwilligung ein Telefonanruf, ein Brief oder das Navigieren durch versteckte Kontoeinstellungen verlangt, liegt ein unmittelbarer Verstoß gegen Art. 7 Abs. 3 vor.
4. Gekoppelte Einwilligung. Ein einziges Kästchen, das Newsletter-Abonnement, Profiling für Werbezwecke und die Weitergabe an Dritte gleichzeitig abdeckt, ist unwirksam. Für jeden Zweck ist ein gesondertes, unabhängig präsentiertes Kästchen erforderlich.
5. Keine Versionskontrolle der Einwilligungserklärungen. Wird ein Einwilligungsformular geändert, ohne die vorherige Version aufzubewahren, kann die Organisation nicht nachweisen, wozu Personen, die vor der Änderung eingewilligt haben, tatsächlich zugestimmt haben.
6. Analyse-Cookies fälschlich als unbedingt erforderlich einstufen. Die Messung des Nutzerverhaltens auf einer Website ist nützlich, aber für die Erbringung der Dienstleistung nicht unbedingt erforderlich. Analyse-Cookies erfordern eine Einwilligung.
7. Die Verarbeitung nach dem Widerruf fortsetzen. Systeme müssen über einen Mechanismus verfügen, der die auf der Einwilligung beruhende Verarbeitung sofort einstellt, sobald ein Widerruf erfasst wurde. Verzögerungen in nachgelagerten, von einem CRM-System gespeisten Systemen sind ein wiederkehrender Beschwerdegrund.
8. Berechtigtes Interesse für cookiebasiertes Tracking heranziehen. Dies bleibt nach dem geltenden ePrivacy-Rahmen ausdrücklich untersagt. Die Berufung darauf in einem Cookie-Hinweis macht die Praxis nicht rechtmäßig.
Beispiele aus der Durchsetzungspraxis
CNIL gegen Google (September 2025, 325 Millionen Euro)
Die französische CNIL verhängte im September 2025 ein Gesamtbußgeld von 325 Millionen Euro gegen Google LLC (200 Millionen Euro) und Google Ireland Limited (125 Millionen Euro). Die Untersuchung, die auf eine Beschwerde von NOYB zurückging, stellte zwei gesonderte Verstöße fest. Erstens zeigte Gmail ohne Einwilligung Werbenachrichten an, die zwischen private E-Mails im Posteingang der Nutzerinnen und Nutzer eingefügt wurden. Zweitens machte die Gestaltung der Einwilligung bei der Kontoerstellung die Ablehnung von Werbe-Cookies deutlich schwieriger als deren Annahme und informierte die Nutzerinnen und Nutzer nicht darüber, dass der Zugang zu Google-Diensten von der Platzierung von Werbe-Cookies abhing. Die CNIL ordnete an, dass Google die Einfügung von Werbung in Gmail ohne vorherige Einwilligung innerhalb von sechs Monaten einstellt.
CNIL gegen SHEIN (September 2025, 150 Millionen Euro)
Im selben Durchsetzungszyklus verhängte die CNIL ein Bußgeld von 150 Millionen Euro gegen die irische SHEIN-Tochtergesellschaft Infinite Styles Services Co. Limited, weil sie Werbe-Cookies auf den Geräten der Nutzerinnen und Nutzer platzierte, noch bevor überhaupt eine Interaktion mit dem Einwilligungsbanner stattgefunden hatte, also bevor die Möglichkeit zur Annahme oder Ablehnung bestand. Die Untersuchung ergab zudem, dass Cookies auch dann weiter platziert und bereits gesetzte Cookies weiter ausgelesen wurden, wenn Nutzerinnen und Nutzer „Alle ablehnen" anklickten. Angesichts von rund 12 Millionen französischen Besucherinnen und Besuchern der Website pro Monat war das Ausmaß des Verstoßes ausschlaggebend für die Höhe des Bußgelds.
Meta und verhaltensbasierte Werbung (verbindlicher Beschluss des EDSA, 2023)
Im Jahr 2023 erließ der EDSA einen dringlichen verbindlichen Beschluss, mit dem die irische Datenschutzbehörde angewiesen wurde, Meta zur Einstellung der Verarbeitung personenbezogener Daten für verhaltensbasierte Werbung ohne gültige Rechtsgrundlage zu verpflichten. Dieser über den One-Stop-Shop-Mechanismus EU-weit durchgesetzte Beschluss führte dazu, dass Meta seine bisherigen Begründungen über „berechtigte Interessen" und „Vertragserfüllung" aufgab und in der EU/EWR zu einem einwilligungsbasierten Modell wechselte.
Aktuelle und bevorstehende Entwicklungen (2025 bis 2026)
November 2025: Das Digital-Omnibus-Paket
Am 19. November 2025 veröffentlichte die Europäische Kommission ihr Digital-Omnibus-Paket, eine umfassende Vereinfachungsinitiative mit vorgeschlagenen Änderungen an DSGVO, ePrivacy-Richtlinie, NIS2-Richtlinie und Datengesetz.
Die wichtigsten vorgeschlagenen Änderungen im Bereich Einwilligung und Cookie-Recht sind:
Überführung der Cookie-Regeln in die DSGVO. Der Vorschlag würde die Verarbeitung personenbezogener Daten vollständig aus dem Anwendungsbereich der ePrivacy-Richtlinie herausnehmen und die Cookie-Regeln für personenbezogene Daten allein unter der DSGVO bündeln. Der derzeitige zweistufige Rahmen (ePrivacy-Richtlinie für die Zugriffserlaubnis auf das Endgerät, DSGVO für die anschließende Verarbeitung) würde durch eine einzige, harmonisierte Regel ersetzt.
Maßnahmen gegen Einwilligungsmüdigkeit. Die Vorschläge sehen unter anderem eine Ablehnungsmöglichkeit mit einem einzigen Klick überall dort vor, wo eine Einwilligung erforderlich ist, eine Beschränkung wiederholter Einwilligungsanfragen für denselben Zweck innerhalb von sechs Monaten nach einer Ablehnung sowie die Hinwendung zu browserbasierten, maschinenlesbaren Präferenzsignalen.
Positivliste für Analyse und aggregierte Messung. Eine vorgeschlagene Positivliste würde bestimmte Verarbeitungen mit geringem Datenschutzrisiko, darunter einfache Analysen und aggregierte Reichweitenmessung, ohne Einwilligungsbanner auf der Grundlage berechtigter Interessen erlauben, vorbehaltlich Schutzmaßnahmen wie der Datenminimierung.
Browserbasierte Einwilligungssignale. Die Vorschläge sehen technische Standards für in Browser und Betriebssysteme integrierte Einwilligungssignale vor, sodass einzelne Einwilligungsdialoge pro Website für Nutzerinnen und Nutzer entfallen könnten, die ihre Präferenzen bereits festgelegt haben. Diese Standards existieren bislang nicht, und der Mechanismus würde frühestens ab etwa 2028 verpflichtend werden.
Status. Der Digital Omnibus ist weiterhin lediglich ein Gesetzgebungsvorschlag. Er muss die Trilogverhandlungen zwischen Kommission, Europäischem Parlament und Rat durchlaufen, bevor er geltendes Recht wird. Derzeit ändert sich dadurch nichts an den bestehenden Compliance-Pflichten.
Zusammenfassung des EDSA zur Einwilligung (April 2026)
Im April 2026 veröffentlichte der EDSA eine kompakte Zusammenfassung zur Einwilligung, die Organisationen dabei helfen soll zu verstehen, wann eine Einwilligung erforderlich ist, wie sie ausgestaltet sein muss und welche Pflichten sich daraus ergeben. Das Dokument ergänzt die vollständigen Leitlinien 05/2020 um einen leichter zugänglichen Überblick, der sich insbesondere an kleine und mittlere Unternehmen richtet.
Weitere DSGVO-Leitfäden
- Was ist die DSGVO für einen umfassenden Überblick über die Verordnung
- DSGVO-Compliance-Checkliste für einen schrittweisen Compliance-Leitfaden
- DSGVO-Bußgelder und Sanktionen für Durchsetzungsdaten und die Folgen von Verstößen
- Betroffenenrechte nach der DSGVO für alle acht individuellen Rechte
- Die 72-Stunden-Regel bei Datenschutzverletzungen für die Meldepflichten bei Datenschutzverletzungen
- DSGVO für kleine Unternehmen für Hinweise speziell für KMU
- EU-Cookie-Recht (ePrivacy-Richtlinie) für den vollständigen Rahmen zur Cookie-Einwilligung
- EU-Datenschutzrecht für den vollständigen Überblick über den Datenschutz in der EU
Häufig gestellte Fragen
Was gilt als wirksame Einwilligung nach der DSGVO?
Eine wirksame Einwilligung nach der DSGVO muss freiwillig, für den bestimmten Fall spezifisch, informiert und unmissverständlich sein. Die betroffene Person muss eine eindeutige bestätigende Handlung vornehmen, etwa ein zuvor leeres Kästchen ankreuzen, eine Einwilligungsschaltfläche anklicken oder gezielt Einstellungen auswählen. Bereits angekreuzte Kästchen, Schweigen, Untätigkeit und bloßes Scrollen sind ausdrücklich ausgeschlossen. Jeder Verarbeitungszweck benötigt eine eigene Einwilligung, und die betroffene Person muss vor der Einwilligung klar darüber informiert werden, wer ihre Daten warum verarbeitet.
Darf ich für die Einwilligung nach der DSGVO bereits angekreuzte Kästchen verwenden?
Nein. Die DSGVO und Erwägungsgrund 32 verbieten bereits angekreuzte Kästchen als Form der Einwilligung ausdrücklich. Die Einwilligung erfordert eine eindeutige bestätigende Handlung der betroffenen Person. Das Kästchen muss zunächst leer sein, und die Person muss es aktiv ankreuzen. Der EuGH hat dies im Planet49-Urteil (Rechtssache C-673/17, 2019) bestätigt und entschieden, dass bereits angekreuzte Kästchen nach EU-Recht keine wirksame Einwilligung darstellen.
Benötige ich für jede Art der Datenverarbeitung eine Einwilligung?
Nein. Die Einwilligung ist nur eine von sechs Rechtsgrundlagen nach Art. 6. Eine Einwilligung ist möglicherweise nicht erforderlich, wenn die Verarbeitung zur Erfüllung eines Vertrags notwendig ist, einer rechtlichen Verpflichtung dient, lebenswichtige Interessen schützt, eine Aufgabe im öffentlichen Interesse erfüllt oder berechtigten Interessen dient, die die Rechte der betroffenen Person nicht überwiegen. Wird auf die Einwilligung zurückgegriffen, obwohl eine andere Rechtsgrundlage einschlägig ist, entsteht unnötiger Verwaltungsaufwand und ein unnötiges Widerrufsrisiko.
Ab welchem Alter können Kinder nach der DSGVO selbst einwilligen?
Die DSGVO legt für Dienste der Informationsgesellschaft (Apps, soziale Netzwerke, Online-Plattformen) eine Standardaltersgrenze von 16 Jahren fest. Die EU-Mitgliedstaaten können diese Grenze auf mindestens 13 Jahre absenken. In der Praxis variiert das Alter: 13 Jahre in Belgien, Dänemark, Schweden und weiteren Ländern; 14 Jahre in Österreich, Italien, Spanien und weiteren Ländern; 15 Jahre in Frankreich und Griechenland; 16 Jahre in Deutschland, Irland, den Niederlanden und weiteren Ländern. Ein europaweit tätiger Dienst muss für jedes Land die dort geltende Altersgrenze anwenden.
Wie widerrufe ich eine Einwilligung nach der DSGVO?
Die Einwilligung kann jederzeit widerrufen werden. Der Widerrufsvorgang muss ebenso einfach sein wie die Erteilung der Einwilligung. Wurde die Einwilligung mit einem Klick erteilt, darf auch der Widerruf nicht mehr als einen Klick erfordern. Über das Widerrufsrecht muss bereits vor der Einwilligung informiert werden. Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung, verpflichtet die Organisation aber, die auf der Einwilligung beruhende Verarbeitung ab sofort einzustellen.
Benötige ich für Cookies auf meiner Website eine Einwilligung?
Nicht unbedingt erforderliche Cookies, wie Analyse-, Werbe-, Tracking- und Social-Media-Cookies, erfordern nach der ePrivacy-Richtlinie eine Einwilligung. Diese Einwilligung muss den Anforderungen der DSGVO entsprechen. Ein berechtigtes Interesse kann das Setzen nicht erforderlicher Cookies nicht rechtfertigen. Unbedingt erforderliche Cookies (Sitzungsverwaltung, Sicherheit, Lastverteilung) sind ausgenommen. Das Digital-Omnibus-Paket vom November 2025 schlägt eine Vereinfachung dieser Regeln vor, ist bislang jedoch noch nicht geltendes Recht.
Was ist der Unterschied zwischen Einwilligung und ausdrücklicher Einwilligung?
Die gewöhnliche Einwilligung erfordert eine eindeutige bestätigende Handlung für die Verarbeitung gewöhnlicher personenbezogener Daten. Die ausdrückliche Einwilligung stellt höhere Anforderungen und ist für besondere Kategorien personenbezogener Daten erforderlich, etwa Gesundheitsdaten, biometrische und genetische Daten, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Die ausdrückliche Einwilligung erfordert eine klare schriftliche Erklärung, die die betreffende Datenkategorie und den konkreten Verarbeitungszweck ausdrücklich benennt; eine stillschweigende oder allgemeine Einwilligung genügt niemals.
Ist ein Modell „Einwilligung oder Bezahlung“ nach der DSGVO zulässig?
Nicht automatisch. Die Stellungnahme 08/2024 des EDSA kommt zu dem Schluss, dass eine große Online-Plattform bei einem rein binären Modell (Einwilligung in verhaltensbasierte Werbung oder Zahlung eines Entgelts) in den meisten Fällen keine wirksame Einwilligung erlangen kann. Der EDSA verlangt von Plattformen zusätzlich eine echte gleichwertige Option ohne verhaltensbasierte Werbung, etwa einen durch kontextbezogene Werbung finanzierten Zugang. Die Entgelte dürfen nicht so hoch angesetzt sein, dass sie faktisch zur Einwilligung zwingen. Die Einwilligungsoption muss weiterhin alle vier Bedingungen der DSGVO erfüllen.
Was ändert das Digital-Omnibus-Paket vom November 2025 an der Cookie-Einwilligung?
Bislang nichts, denn es handelt sich weiterhin um einen Gesetzgebungsvorschlag. Die Kommission schlägt vor, die Cookie-Regeln in die DSGVO zu integrieren, eine Positivliste für einfache Analysen einzuführen, eine Ablehnung mit einem Klick vorzuschreiben, wiederholte Einwilligungsanfragen für denselben Zweck auf höchstens alle sechs Monate zu beschränken und ab etwa 2028 browserbasierte Präferenzsignale zuzulassen. Bis der Vorschlag das EU-Gesetzgebungsverfahren durchlaufen hat und in Kraft tritt, gelten die derzeitigen Cookie-Einwilligungsregeln der ePrivacy-Richtlinie unverändert.
Aktualisierungen
Umfangreiche Erweiterung: Cookie-Reform durch das Digital-Omnibus-Paket vom November 2025, CNIL-Bußgelder gegen Google (325 Mio. Euro) und SHEIN (150 Mio. Euro), gemeinsame Leitlinien von EDSA und Kommission zu DMA und DSGVO, neuer Abschnitt zu häufigen Fehlern bei der Einwilligung, UpdatesLog-Komponente.
Erstveröffentlichung.
Quellen und Referenzen
- DSGVO Volltext (Verordnung (EU) 2016/679)(eur-lex.europa.eu).gov
- Leitlinien 05/2020 des EDSA zur Einwilligung nach der Verordnung 2016/679(edpb.europa.eu).gov
- Zusammenfassung des EDSA zur Einwilligung (April 2026)(edpb.europa.eu).gov
- Europäische Kommission: Wann ist eine Einwilligung wirksam?(commission.europa.eu).gov
- Europäische Kommission: Wie sollte meine Einwilligung eingeholt werden?(commission.europa.eu).gov
- ICO: Was ist eine wirksame Einwilligung?(ico.org.uk).gov
- ICO: Wie sollten wir Einwilligungen einholen, dokumentieren und verwalten?(ico.org.uk).gov
- ICO: Wann ist eine Einwilligung angemessen?(ico.org.uk).gov
- Europäische Kommission: Besondere Schutzmaßnahmen für Kinderdaten(commission.europa.eu).gov
- Stellungnahme 08/2024 des EDSA zur wirksamen Einwilligung im Kontext von Einwilligung-oder-Bezahlen-Modellen(edpb.europa.eu).gov
- Bericht der Cookie-Banner-Taskforce des EDSA (2023)(edpb.europa.eu).gov
- Leitlinien 03/2022 des EDSA zu irreführenden Gestaltungsmustern(edpb.europa.eu).gov
- ICO: Cookies und ähnliche Technologien(ico.org.uk).gov
- Leitlinien 1/2024 des EDSA zum berechtigten Interesse(edpb.europa.eu).gov
- Leitlinien 3/2025 des EDSA zum Zusammenspiel von DSA und DSGVO(edpb.europa.eu).gov
- Gemeinsame Leitlinien von EDSA und Europäischer Kommission zum Zusammenspiel von DMA und DSGVO(edpb.europa.eu).gov
- CNIL: Google zu 325 Millionen Euro Bußgeld wegen Verstößen bei Cookie- und Werbeeinwilligung verurteilt (September 2025)(cnil.fr).gov
- CNIL: SHEIN zu 150 Millionen Euro Bußgeld wegen Setzens von Cookies ohne Einwilligung verurteilt (September 2025)(cnil.fr).gov
- Europäische Kommission: Digital-Omnibus-Paket (November 2025)(digital-strategy.ec.europa.eu).gov
- Your Europe: Online-Datenschutz für Unternehmen(europa.eu).gov