Die Bedeutung der konkludenten Einwilligung für Unternehmen

Was ist eine konkludente Einwilligung?

Eine konkludente Einwilligung liegt vor, wenn eine Person ihr Einverständnis nicht ausdrücklich erklärt, sondern durch ein eindeutiges Verhalten zeigt – etwa indem sie einem Unternehmen freiwillig ihre Visitenkarte übergibt. Nach der DSGVO kann eine solche Einwilligung wirksam sein, wenn sie freiwillig, informiert, für einen bestimmten Fall und durch eine eindeutige aktive Handlung erfolgt. Schweigen, Untätigkeit oder vorangekreuzte Kästchen reichen nie aus, und bei Gesundheitsdaten, Cookies und E-Mail-Werbung ist eine konkludente Einwilligung praktisch ausgeschlossen.

Warum die Einwilligung im Datenschutz so wichtig ist

Die DSGVO gilt seit 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union und regelt, wann personenbezogene Daten verarbeitet werden dürfen. Eine der möglichen Rechtsgrundlagen nach Art. 6 DSGVO ist die Einwilligung. Die DSGVO definiert sie als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ (Art. 4 Nr. 11 DSGVO).

Mit anderen Worten: Die betroffene Person muss ihr Einverständnis aktiv zum Ausdruck bringen. Das muss aber nicht immer durch eine ausdrückliche Erklärung geschehen. Unter bestimmten Umständen genügt auch eine stillschweigende Zustimmung durch eindeutiges Verhalten, die sogenannte konkludente Einwilligung. In diesem Artikel erfährst du, was eine konkludente Einwilligung ist und wann sie ausreicht.

Wann ist eine konkludente Einwilligung wirksam?

Eine konkludente Einwilligung liegt vor, wenn das Verhalten einer Person eindeutig darauf schließen lässt, dass sie mit der Erhebung und Verarbeitung ihrer personenbezogenen Daten einverstanden ist – auch ohne ausdrückliche Erklärung.

Ein typisches Beispiel: Jemand übergibt dir auf einer Messe seine Visitenkarte und bittet um weitere Informationen zu einem Produkt. In diesem Fall darfst du davon ausgehen, dass die Person mit einer Kontaktaufnahme zu diesem Zweck einverstanden ist.

Wichtig ist jedoch: Eine konkludente Einwilligung ist nur unter bestimmten Voraussetzungen wirksam. Damit sie gültig ist, müssen mehrere Bedingungen erfüllt sein:

• Der Zweck muss für die Person erkennbar sein. Sie muss wissen, wofür ihre Daten genutzt werden, bevor sie handelt.
• Die Datennutzung muss zu diesem Zweck passen. Wer sich beispielsweise für einen Steuer-Blog anmeldet, stimmt damit nicht automatisch auch Marketing-E-Mails zu völlig anderen Themen zu.
• Die Handlung muss freiwillig und eindeutig sein. Wer etwa ein optionales Kästchen für Marketing-E-Mails nicht aktiviert, erteilt keine Zustimmung.
• Die Information muss klar und verständlich formuliert sein. Versteckte Hinweise in langen Nutzungsbedingungen reichen in der Regel nicht aus, um eine wirksame Einwilligung anzunehmen.

Abgrenzung: Dass jemand bereits Kund:in ist, ersetzt keine Einwilligung. Für E-Mail-Werbung an Bestandskund:innen gibt es zwar eine Ausnahme im Wettbewerbsrecht (§ 7 Abs. 3 UWG), sie ist aber an enge Voraussetzungen geknüpft und keine konkludente Einwilligung.

Welche Voraussetzungen gelten nach der DSGVO?

Die rechtliche Grundlage findet sich insbesondere in Art. 4 Nr. 11 und Art. 7 DSGVO. Dort ist geregelt, wann eine Einwilligung wirksam ist.

Eine gültige Einwilligung muss:

• freiwillig erfolgen,
• informiert sein,
• für einen bestimmten Fall gelten,
• eindeutig und durch eine aktive Handlung abgegeben werden,
• und jederzeit widerrufbar sein (Art. 7 Abs. 3 DSGVO).

Gerade bei konkludenten Einwilligungen wird der Punkt der Eindeutigkeit schnell zum Problem.

Wann ist Verhalten eindeutig genug?

Damit Verhalten als Zustimmung gilt, muss für Unternehmen klar erkennbar sein, dass die betroffene Person bewusst eingewilligt hat. Das Verhalten darf also nicht missverständlich oder zufällig sein. Die DSGVO verlangt eine aktive Handlung. Reine Untätigkeit reicht nicht aus.

Beispiele aus der Praxis

Besonders kritisch wird es, wenn Nutzer:innen nicht eindeutig erkennen können, wofür ihre Daten verwendet werden.

Wann reicht eine konkludente Einwilligung nicht aus?

Je sensibler die Datenverarbeitung ist, desto höher sind die Anforderungen an die Zustimmung. In vielen Fällen genügt deshalb eine konkludente Einwilligung nicht.

Besonders kritische Bereiche

Gesundheitsdaten und sensible Informationen

Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, gelten besonders strenge Anforderungen. Beruht die Verarbeitung auf einer Einwilligung, muss diese ausdrücklich erfolgen (Art. 9 Abs. 2 lit. a DSGVO). Ein Beispiel ist die Schweigepflichtsentbindung, mit der Patient:innen die Weitergabe ihrer Gesundheitsdaten erlauben.

Cookies und Tracking

Seit den Urteilen des EuGH (Planet49, 2019) und des BGH (Cookie-Einwilligung II, 2020) ist klar: Vorangekreuzte Checkboxen oder stillschweigende Zustimmung reichen für Tracking-Cookies nicht aus. In Deutschland regelt das heute § 25 TDDDG. Nutzer:innen müssen aktiv zustimmen.

Direktmarketing

Auch im E-Mail-Marketing ist Vorsicht geboten. Für Werbe-E-Mails und Newsletter brauchen Unternehmen grundsätzlich eine ausdrückliche Einwilligung (§ 7 Abs. 2 UWG). Das bekannte Double-Opt-in-Verfahren bleibt deshalb der sicherste Weg.

Automatisierte Entscheidungen und KI-Systeme

Wenn Unternehmen KI-Systeme oder automatisierte Entscheidungen einsetzen, steigen die Transparenz- und Informationspflichten zusätzlich. Eine bloß konkludente Zustimmung kann hier schnell unzureichend sein.

Welche Risiken bestehen für Unternehmen?

Die größte Herausforderung liegt in der Nachweisbarkeit. Unternehmen müssen jederzeit belegen können, dass eine gültige Einwilligung vorlag (Art. 7 Abs. 1 DSGVO). Kann dieser Nachweis nicht erbracht werden, gilt die Datenverarbeitung möglicherweise als rechtswidrig.

Die wichtigsten Risiken im Überblick

Bußgelder und DSGVO-Verstöße

Ungültige Einwilligungen können zu Datenschutzverstößen führen – inklusive hoher Bußgelder.

Abmahnungen und Reputationsschäden

Besonders im Marketing drohen zusätzlich wettbewerbsrechtliche Abmahnungen. Gleichzeitig kann ein Vertrauensverlust bei Kund:innen langfristige Auswirkungen haben.

Beweislast liegt beim Unternehmen

Nach der DSGVO reicht es nicht aus, von einer Zustimmung auszugehen.

Unternehmen müssen aktiv dokumentieren können:

• wann die Einwilligung erfolgte,
• auf welcher Grundlage,
• und wofür genau sie erteilt wurde.

So holen Unternehmen DSGVO-konforme Einwilligungen ein

Die sicherste Lösung bleibt in vielen Fällen eine ausdrückliche und dokumentierte Einwilligung. Unternehmen sollten ihre Prozesse deshalb möglichst transparent und nachvollziehbar gestalten.

Best Practices für die Praxis

Klare und verständliche Sprache verwenden

Einwilligungen dürfen nicht versteckt oder unnötig kompliziert formuliert sein.

Aktive Zustimmung einholen

Checkboxen sollten freiwillig aktiviert werden und niemals vorausgewählt sein.

Double-Opt-in nutzen

Gerade im E-Mail-Marketing bleibt Double-Opt-in der wichtigste Standard.

Widerruf einfach ermöglichen

Nutzer:innen müssen ihre Einwilligung jederzeit unkompliziert zurückziehen können – so einfach, wie sie sie erteilt haben.

Einwilligungen dokumentieren

Eine saubere Dokumentation reduziert Risiken bei Prüfungen oder Beschwerden erheblich.

Warum Consent-Management immer wichtiger wird

Je mehr digitale Tools, Tracking-Technologien und KI-Systeme Unternehmen einsetzen, desto komplexer wird die Verwaltung von Einwilligungen. Viele Unternehmen stoßen dabei schnell an organisatorische Grenzen.

Moderne Consent-Management-Lösungen helfen dabei:

• Einwilligungen zentral zu dokumentieren,
• Widerrufe nachzuverfolgen,
• Nachweispflichten zu erfüllen,
• und Datenschutzprozesse effizient zu steuern.

Fazit: Konkludente Einwilligungen bleiben rechtlich sensibel

Die konkludente Einwilligung kann unter bestimmten Voraussetzungen wirksam sein. Gleichzeitig ist sie aus DSGVO-Sicht deutlich risikoreicher als eine ausdrückliche Zustimmung.

Sobald Zweifel an der Eindeutigkeit bestehen, solltest du auf klar dokumentierte Einwilligungsprozesse setzen. Besonders bei sensiblen Daten, Marketingmaßnahmen oder KI-gestützten Anwendungen ist Vorsicht geboten. Denn die Verantwortung für eine rechtmäßige Datenverarbeitung bleibt immer beim Unternehmen selbst.

Wer transparente Prozesse etabliert und Einwilligungen sauber dokumentiert, reduziert nicht nur rechtliche Risiken, sondern stärkt auch das Vertrauen von Kund:innen und Partnern.

Mit dem externen Datenschutzbeauftragten von heyData prüfst du deine Einwilligungsprozesse, setzt Cookie-Banner und Formulare rechtssicher auf und dokumentierst alles an einem Ort.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo