Wann ist eine ausdrückliche Einwilligung nach der KVKK unwirksam? Der neue Ansatz des Datenschutzrats

⏱️ Lesezeit: 12 min · 📁 Kategorie: KVKK & ausdrückliche Einwilligung Management

Wann ist eine ausdrückliche Einwilligung nach der KVKK unwirksam? Der neue Ansatz des Datenschutzrats

2025 betonte der KVKK-Datenschutzrat immer wieder diesen Grundsatz:
Eine ausdrückliche Einwilligung ist nur gültig, wenn sie tatsächlich freiwillig erteilt wird.
Nachdem der Datenschutzrat in vielen Branchen rechtlich unwirksame Einwilligungen festgestellt hatte,
verschärfte er sowohl die Praxisleitfäden als auch die Prüfungsstandards erheblich.

Der Hauptgrund dafür ist, dass die ausdrückliche Einwilligung in Bereichen, die für die Datenverarbeitung nicht erforderlich sind, als unrichtiger "einfacher Weg" zu verwenden beginnt.

Die deutlichste Botschaft des Datenschutzrats 2025: Eine ausdrückliche Einwilligung ist unwirksam, wenn sie unter Zwangsempfinden erteilt wird. 1. Grundlegende Situationen, in denen die ausdrückliche Einwilligung ungültig ist

Nach Angaben der KVKK gibt es drei grundlegende Kriterien für die Gültigkeit der ausdrücklichen Einwilligung:

• Sie muss spezifisch sein
• Es sollte auf Informationen basieren
• Sie muss freiwillig erteilt werden

Fehlt eines dieser Kriterien, ist die Einwilligung unwirksam.

Häufige Szenarien, die der Datenschutzrat als unwirksam betrachtet:

• Zustimmung als Voraussetzung für die Erbringung von Dienstleistungen
• Dienstzugang für Personen ohne Einwilligung beschränken
• Einwilligung in mehrere Verarbeitungsvorgänge über ein einziges Kontrollkästchen einholen
• Einwilligung mit unklaren oder unverständlichen Texten verlangen
• Erzwingen Sie Zustimmung mit Druckelementen wie "Sie können sich nicht registrieren", "Sie können nicht verwenden"

Eine als verpflichtend dargestellte Zustimmung ist keine echte ausdrückliche Einwilligung. 2. Entscheidungen des Datenschutzrats 2024–2025: Wo waren unwirksame Einwilligungen besonders häufig?

Die jüngsten Beschlüsse des Boards konzentrierten sich insbesondere auf drei Bereiche:

1) Marketing- und Werbeprozesse

• Kommunikationseinwilligungen mit Registrierung oder Terminbuchung verknüpfen
• Bitte um obligatorische Zustimmung für die Kampagne
• Gebündelte Einwilligungskästchen

2) Cookie-Richtlinien & digitales Tracking

• Standardmäßig werden Analyse- und Werbe-Cookies ausgewählt
• Hervorgehobener Akzeptieren-Button mit versteckter Ablehnungsoption
• Cookie-Walls mit nur einer Option

3) Mitarbeiterdaten

• Verpflichtung zur ausdrücklichen Einwilligung zur Leistungsüberwachung
• Erforderliche Zustimmung für Standort/GPS-Tracking
• Annahme, dass die Zustimmung aufgrund des Ungleichgewichts zwischen Arbeitgeber und Arbeitnehmer nicht frei ist

Nach Ansicht des Datenschutzrats ist eine ausdrückliche Einwilligung im Arbeitgeber-Arbeitnehmer-Verhältnis meist unwirksam. 3. Zwang und Freiwilligkeit: der neue Ansatz des Datenschutzrats

Besonders umstritten ist, welche Folgen eine Person bei verweigerter Einwilligung tragen muss.

Der Test, den der Vorstand in seiner Neujahrsbewertung verwendet:

• Kann die Dienstleistung ohne Einwilligung erbracht werden?
• Fällt die Person, die nicht einverstanden ist, in eine benachteiligte Position?
• Wird der Nutzer bestraft, wenn die Einwilligung widerrufen wird?

Wenn eine dieser drei Fragen "ja" ist, ist die Zustimmung ungültig.

Beispiele:

• Keine Sendungsverfolgung ohne SMS-Einwilligung → unwirksame Einwilligung
• Kein Login in eine Banking-App ohne Marketingeinwilligung → unwirksame Einwilligung
• Mitarbeiter erzwungene Zustimmung zur GPS-Tracking -> ungültige Zustimmung

Regel: Wird jemand für die Verweigerung bestraft, liegt keine Einwilligung vor. 4. Jahresendbewertung: die am häufigsten geprüften Fehler

Mängel, die in den vom Ausschuss Ende 2025 veröffentlichten Prüfungsberichten besonders ausgeprägt sind:

• Bitten Sie mehrere Berechtigungen in einem Feld (z.B. SMS + E-Mail + Werbebotschaft)
• Manipulative Knopfplatzierung im Cookie-Banner
• Notwendige Dienstleistungen an eine Einwilligung knüpfen
• Ausdrückliche Einwilligung mit Datenschutzhinweisen verwechseln
• Widerrufe im System nicht umsetzen

Die häufigste Aussage in den Berichten Ende 2025: Der Einwilligungstext ist weder spezifisch noch klar und spiegelt keinen freien Willen wider. 5. In welchen Situationen kann ausdrückliche Einwilligung in keiner Weise verwendet werden? 1) Arbeitgeber-Arbeitnehmer-Verhältnis

• Die Zustimmung wird aufgrund eines Machtungleichgewichts in der Arbeitsbeziehung als "abhängig" angesehen.

2) Obligatorische Service-Komponenten

• Die Datenverarbeitung, die für die Erbringung der Dienstleistung zwingend vorgeschrieben ist, sollte auf der Rechtsgrundlage beruhen.

3) Profilerstellung und Personalisierung

• Der Datenschutzrat hält Einschränkungen des Profilings auch bei vorliegender ausdrücklicher Einwilligung für erforderlich.

4) Sicherheitsüberwachung

• CCTV, GPS und Bildschirmüberwachung können mit berechtigtem Interesse oder gesetzlicher Verpflichtung durchgeführt werden, nicht durch ausdrückliche Einwilligung.

Die Zeit, in der ausdrückliche Einwilligung alles rechtfertigen sollte, ist vorbei; nach 2025 bleibt ihr Einsatz auf enge Fälle begrenzt. 6. Vorbereitung auf 2026: Wie sollten Unternehmen explizite Konsensprozesse organisieren?

• Verwendung einer ausdrücklichen Einwilligung nur für "nicht-alternative und freiwillige" Transaktionen
• Trennung von Einwilligungsboxen auf Transaktionsbasis (SMS / E-Mail / Marketing / Profiling)
• Die automatische Umsetzung von Einwilligungswiderrufen im System sicherstellen
• Die Trennung von Datenschutzhinweisen und Einwilligungstexten klarstellen
• Vorbereitung von DPIA in Profiling-Prozessen
• Aktualisierung der Cookie-Richtlinie + CMP-Infrastruktur

Fazit: Ausdrückliche Einwilligung ist keine Abkürzung mehr, sondern eine eng begrenzte Ausnahme mit strengen Voraussetzungen.

Konformitätsanalyse ausdrücklicher Einwilligungen