Was ist eine Einwilligung?
Darfst du das eigentlich? Diese Frage steht hinter jedem Newsletter, jedem Tracking-Pixel und jedem Anruf. Die Einwilligung ist die sauberste Antwort darauf: Die Person hat Ja gesagt.
Laut Art. 4 Nr. 11 DSGVO ist das eine freiwillige Willensbekundung für einen bestimmten Fall, informiert und unmissverständlich. Eine Unterschrift braucht es nicht. Ein Klick auf ein Kästchen oder eine einfache E-Mail reicht, sagt die Datenschutzkonferenz (DSK).
Im Marketing begegnen dir drei Einwilligungs-Anlässe, die oft durcheinandergehen:
Anlass
Gesetz
Daten verarbeiten
Art. 6 und 7 DSGVO
Cookies, Gerätezugriff
§ 25 TDDDG
E-Mail- und Telefonwerbung
§ 7 UWG
Die Einwilligung ist dabei nur eine von mehreren Rechtsgrundlagen. Für Cookies und E-Mail-Werbung führt aber meist kein Weg an ihr vorbei.
Was macht eine Einwilligung wirksam?
- Freiwillig: Die Person hat eine echte Wahl. Ablehnen darf nicht aufwendiger sein als Zustimmen.
- Für einen bestimmten Fall: Der Zweck ist klar benannt. Pauschal „für Marketing“ reicht nicht.
- Informiert: Wer macht was womit? Bei Cookies gehören laut EuGH auch Speicherdauer und Zugriff Dritter dazu.
- Unmissverständlich: eine aktive Handlung. Vorangekreuzte Häkchen zählen nicht (EuGH Planet49, C-673/17). Weiterscrollen auch nicht.
- Getrennt: Das Ersuchen darf nicht mit anderen Erklärungen vermischt werden, etwa in den AGB.
- Widerrufbar: jederzeit für die Zukunft und so einfach wie die Erteilung.
Bei Online-Diensten für Kinder gilt die Einwilligung ab 16 Jahren, darunter müssen die Eltern zustimmen (Art. 8 DSGVO).
Wann du ohne Einwilligung mailen darfst
Für E-Mail-Werbung gibt es genau eine Ausnahme: § 7 Abs. 3 UWG, die Bestandskunden-Regel. Alle vier Punkte müssen stimmen:
- Du hast die Adresse beim Verkauf einer Ware oder Dienstleistung bekommen.
- Du wirbst nur für eigene, ähnliche Angebote.
- Die Person hat nicht widersprochen.
- Du weist bei Erhebung und in jeder Mail klar auf das Widerspruchsrecht hin.
Wie weist du eine Einwilligung nach?
Hier liegt der Hase im Pfeffer. Die Beweislast trägt nach Art. 7 Abs. 1 DSGVO immer du. Laut DSK-Kurzpapier 20 (Stand 23.09.2026) reicht es nicht, auf eine korrekt gebaute Website zu verweisen oder nur die IP-Adresse zu speichern. Nötig ist die Dokumentation der konkreten Erklärung jeder Person, samt Wortlaut.
Der Standard für Newsletter ist das Double-Opt-in. Der BGH hat es 2011 (I ZR 164/09) für E-Mail grundsätzlich als Nachweis gelten lassen, nicht aber für Telefonnummern: Die Bestätigungsmail beweist nichts über die Nummer. Gesetzlich vorgeschrieben ist das Verfahren nicht, es ist nur der bewährte Weg zum Beweis.
Zum Protokoll gehören je Person: Zeitpunkt, Wortlaut oder Textversion, Quelle, Bestätigung und ein etwaiger Widerruf.
Eine feste Ablauffrist gibt es nicht. Der EDSA, das Gremium der EU-Aufsichtsbehörden, sagt: Die Dauer hängt von Kontext und Erwartung ab, Auffrischen ist gute Praxis. Bei Telefonwerbung gilt eine harte Regel: Einwilligungen musst du fünf Jahre aufbewahren (§ 7a UWG). Das ist kein Papiertiger. Die Bundesnetzagentur zählte 2025 genau 39.842 Beschwerden über unerlaubte Telefonwerbung, verhängte rund 1,1 Millionen Euro Bußgelder und ahndete erstmals auch Verstöße gegen die Dokumentationspflicht.
Häufige Fehler
Fehler 1 · Formular als Nachweis
„Bei uns geht das nur mit Häkchen“ beweist nichts über den Einzelfall. Du brauchst den Datensatz der Person, nicht die Bauanleitung.
Fehler 2 · Ablehnen schwerer machen
Ist Nein aufwendiger als Ja, ist die Einwilligung laut DSK unwirksam. Der Klassiker: „Alles ablehnen“ erst auf der zweiten Banner-Ebene.
Fehler 3 · Widerruf verstecken
Zustimmung per Klick, Widerruf per Hotline zu Bürozeiten: Das nennt der EDSA als Negativbeispiel. Widerruf nur per E-Mail oder Formular reicht der DSK bei Websites ebenfalls nicht. Ein Link zu den Cookie-Einstellungen im Footer löst das meist.
Fehler 4 · Neue Tools ohne neue Abfrage
Kommt ein Tracking-Dienst dazu, ist das laut DSK ein neuer Fall mit neuer Einwilligung. Das alte Ja deckt ihn nicht ab.
Fehler 5 · Nach dem Widerruf umsatteln
Einfach auf berechtigtes Interesse wechseln geht nicht stillschweigend. Nach dem Widerruf stoppst du die Verarbeitung, und ohne andere Grundlage wird gelöscht.
So setzt du es sauber um
- Formular: Häkchen leer, eigener Satz mit Zweck, Link zur Datenschutzerklärung.
- Newsletter: Double-Opt-in und Protokoll im Mail-Tool, etwa Brevo oder CleverReach.
- Website: Consent-Management-Plattform wie Borlabs Cookie, „Ablehnen“ auf erster Ebene, dazu Consent Mode im Google Tag Manager.
- CRM: Einwilligungsstatus als Feld mit Datum und Quelle.
- Telefon: eigene Einwilligung für Telefonwerbung, nachweisbar, fünf Jahre aufbewahren.
Häufige Fragen
Muss eine Einwilligung schriftlich sein?
Nein. Ein Klick auf ein Kästchen oder eine einfache E-Mail reicht. Du musst sie aber nachweisen können, deshalb ist eine dokumentierte Form Pflicht in der Praxis.
Wie lange gilt eine Einwilligung?
Eine feste Frist gibt es nicht. Sie hängt von Kontext und Erwartung der Person ab. Der EDSA empfiehlt, Einwilligungen in angemessenen Abständen zu erneuern. Pauschale Aussagen wie „nach zwei Jahren verfallen sie“ sind nicht belegt.
Ist Double-Opt-in Pflicht?
Im Gesetz steht es nicht. Faktisch ist es für E-Mail aber der Standard, weil du sonst kaum beweisen kannst, dass wirklich der Inhaber der Adresse zugestimmt hat.
Darf ich Kunden ohne Einwilligung einen Newsletter schicken?
Nur unter den vier Bedingungen von § 7 Abs. 3 UWG: Adresse aus einem Verkauf, nur eigene ähnliche Angebote, kein Widerspruch und klarer Hinweis auf das Widerspruchsrecht. Für alle anderen brauchst du eine Einwilligung.
Was ist der Unterschied zwischen Widerruf und Widerspruch?
Ein Widerruf beendet eine Einwilligung. Ein Widerspruch richtet sich gegen eine Verarbeitung, die auf einer anderen Grundlage läuft, zum Beispiel auf berechtigtem Interesse.
Was passiert nach einem Widerruf?
Er wirkt für die Zukunft. Du stoppst die Verarbeitung und löschst die Daten, wenn es keine andere Grundlage gibt. Was vorher lief, bleibt rechtmäßig.
Quellen
- Art. 4 DSGVO
- Art. 7 DSGVO
- Art. 8 DSGVO
- § 25 TDDDG
- § 7 UWG
- § 7a UWG
- DSK: Kurzpapier Nr. 20 Einwilligung
- EDSA: Leitlinien 05/2020 zur Einwilligung
- DSK: Orientierungshilfe Digitale Dienste
- BGH, Urteil vom 10.02.2011, I ZR 164/09
- EuGH, Urteil vom 01.10.2019, C-673/17
- Bundesnetzagentur: Unerlaubte Telefonwerbung 2025
