GDPR Consent — Wesen, Anforderungen und Einholung der Einwilligung

Was ist GDPR Consent?

GDPR Consent ist eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten, definiert in Artikel 4(11) und Artikel 7 der Datenschutz-Grundverordnung der Europäischen Union. Die Verordnung trat am 25. Mai 2018 in Kraft und ersetzte die veraltete Richtlinie 95/46/EG, wobei sie einheitliche Datenschutzstandards für alle EU-Mitgliedstaaten festlegte.

Gemäß GDPR muss die Einwilligung freiwillig sein — der Nutzer muss eine echte Wahl ohne negative Folgen bei Verweigerung haben. Führt die Verweigerung der Einwilligung zur Verweigerung des Zugangs zu einem Dienst, der keine Datenverarbeitung erfordert, gilt diese Einwilligung als erzwungen und unwirksam. Artikel 7(4) weist direkt darauf hin, dass damit verbundene Vertragsbedingungen die Vertragserfüllung nicht von der Einwilligung zur Verarbeitung von Daten abhängig machen dürfen, die für diesen Vertrag nicht erforderlich sind.

Informiertheit — das zweite Schlüsselelement: Die betroffene Person muss verstehen, welche konkreten Daten erhoben werden, zu welchem Zweck, wer sie verarbeitet und wie lange sie gespeichert werden. Der Europäische Datenschutzausschuss (EDPB) betont in den Leitlinien 05/2020, dass die Informationen in verständlicher Sprache ohne komplexe juristische Formulierungen bereitzustellen sind. Die Praxis zeigt, dass die Einwilligung als unwirksam gilt, wenn die Datenschutzerklärung mehrdeutige oder allgemeine Formulierungen enthält.

Eindeutigkeit bedeutet, dass die Einwilligung durch eine aktive Handlung — Setzen eines Häkchens, Klicken einer Schaltfläche oder Unterzeichnen eines Formulars — ausgedrückt werden muss. Untätigkeit, Schweigen oder vorab angekreuzte Kästchen erfüllen das Eindeutigkeitserfordernis nicht. Im Urteil zur Rechtssache Planet49 GmbH (C-673/17) bestätigte der Gerichtshof der Europäischen Union, dass eine Einwilligung nicht aus der Untätigkeit des Nutzers abgeleitet werden kann.

Welche Daten fallen unter die GDPR

Personenbezogene Daten im Sinne der GDPR sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur offensichtliche Identifikatoren — Name, Adresse, E-Mail, Telefon — sondern auch IP-Adressen, Cookie-Identifikatoren, Werbeidentifikatoren von Geräten (IDFA, GAID), biometrische Daten, Geolokalisierung und genetische Informationen.

Artikel 9 GDPR hebt besondere Kategorien von Daten hervor, deren Verarbeitung ohne ausdrückliche Einwilligung verboten ist: Rasse oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten und sexuelle Orientierung. Für diese Kategorien ist die strengste Form der Einwilligung erforderlich — getrennt, detailliert und nicht aus dem allgemeinen Kontext ableitbar.

Wann ist GDPR Consent erforderlich

GDPR Consent ist erforderlich, wenn die Datenverarbeitung nicht auf andere Rechtsgrundlagen gestützt werden kann: Vertragserfüllung (Artikel 6(1)(b)), berechtigtes Interesse (Artikel 6(1)(f)) oder Erfüllung einer rechtlichen Verpflichtung (Artikel 6(1)(c)). In der Praxis ist die Einwilligung notwendig für Marketingkommunikation, Tracking zu Werbezwecken, Erhebung nicht obligatorischer Daten und Verwendung von Cookies, die für das Funktionieren des Dienstes nicht unbedingt erforderlich sind.

Laut dem IAPP-EY Annual Governance Report (2024) nutzen 67 % der Unternehmen die Einwilligung als primäre Rechtsgrundlage für die Datenverarbeitung in mobilen Apps, trotz des wachsenden Trends, wo möglich auf das berechtigte Interesse zurückzugreifen. Dies liegt daran, dass die Einwilligung die transparenteste Beziehung zum Nutzer bietet, aber gleichzeitig die größten Verpflichtungen zur Aufzeichnung und Verwaltung von Einwilligungen auferlegt.

Grundlegende GDPR-Anforderungen an die Einwilligung

Artikel 7 GDPR legt sechs Bedingungen für die Wirksamkeit der Einwilligung fest, die alle gleichzeitig erfüllt sein müssen. Die Verletzung auch nur einer Bedingung macht die Einwilligung unwirksam und die Datenverarbeitung rechtswidrig. Lassen Sie uns jede Bedingung unter Berücksichtigung der EDPB-Leitlinien und der Rechtsprechung im Detail betrachten.

Die Freiwilligkeit der Einwilligung ist verletzt, wenn ein Machtungleichgewicht zwischen dem Verantwortlichen und der betroffenen Person besteht. Der EDPB weist direkt darauf hin, dass Arbeitgeber sich aufgrund des Abhängigkeitsverhältnisses nicht auf die Einwilligung von Arbeitnehmern berufen können. Ebenso dürfen Behörden bei der Erbringung öffentlicher Dienstleistungen keine Einwilligung von Bürgern verlangen.

Die Spezifität erfordert eine getrennte Einwilligung für jeden Verarbeitungszweck. Wenn eine App Daten für Analyse, Werbepersonalisierung und Serviceverbesserung erhebt — ist für jeden Zweck ein separates Kästchen erforderlich. Die Zusammenfassung mehrerer Zwecke in einer einzigen Einwilligung verstößt gegen das Spezifitätserfordernis und macht die Einwilligung unwirksam.

Die Nachweisbarkeit ist die technologisch anspruchsvollste Anforderung. Artikel 7(1) weist direkt darauf hin, dass der Verantwortliche die Beweislast für die Einholung der Einwilligung trägt. In der Praxis bedeutet dies die Notwendigkeit, ein Protokoll aller Nutzerhandlungen zu führen: wer, wann, für welche Zwecke seine Einwilligung gegeben hat, welche Version der Datenschutzerklärung angezeigt wurde und wie der Nutzer sie widerrufen hat.

So implementieren Sie die Einwilligungserhebung in einer mobilen App

Die Implementierung von GDPR Consent in einer mobilen Anwendung erfordert einen umfassenden Ansatz, der rechtliche Anforderungen mit technischer Umsetzung verbindet. Das wichtigste Werkzeug ist eine Consent Management Platform (CMP), die den gesamten Lebenszyklus der Einwilligung verwaltet: Anzeige der Anfrage, Erfassung der Auswahl, Speicherung der Daten und Synchronisierung mit Werbe- und Analyse-SDKs.

Verwendung des Google UMP SDK

Google stellt das User Messaging Platform (UMP) SDK für Android und iOS bereit, das mit AdMob, Google Analytics und anderen Google-Diensten integriert wird. Das UMP SDK ermittelt automatisch, ob eine Einwilligungsabfrage erforderlich ist, basierend auf dem Standort des Nutzers und den GDPR-Anforderungen. Betrachten wir die Integration in Kotlin für Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Nach dem Laden des Einwilligungsformulars muss es dem Nutzer angezeigt werden. Das UMP SDK unterstützt zwei Arten von Formularen: zur Einholung der Einwilligung für personalisierte Werbung und zur späteren Verwaltung der Auswahl. Die Ergebnisverarbeitung muss alle möglichen Ergebnisse berücksichtigen — der Nutzer kann die Einwilligung erteilen, verweigern oder das Formular ohne Auswahl schließen.

Speicherung und Überprüfung der Einwilligung

Um die Anforderung der Nachweisbarkeit zu erfüllen, muss nicht nur die Tatsache der Einwilligung, sondern auch der Kontext ihrer Einholung gespeichert werden. Der minimale Datensatz für die Speicherung umfasst: Nutzer- oder Gerätekennung, Zeitstempel mit Zeitzone, Version der Datenschutzerklärung, spezifische Verarbeitungszwecke und den verwendeten Einwilligungsmechanismus.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Der Europäische Datenschutzausschuss (EDPB) betont in den Empfehlungen 01/2023, dass Einwilligungsaufzeichnungen während des gesamten Datenverarbeitungszeitraums und bis zu drei Jahre nach dessen Beendigung aufbewahrt werden müssen. Für mobile Apps bedeutet dies die Notwendigkeit einer serverseitigen Speicherung der Aufzeichnungen, nicht nur einer lokalen, da der Nutzer die App neu installieren oder das Gerät wechseln kann.

Wie sich GDPR von anderen Datenschutzregulierungen unterscheidet

Die GDPR ist nicht die einzige Datenschutzregulierung der Welt, aber sie ist zum Vorbild für viele nationale Datenschutzgesetze geworden. Das Verständnis der Unterschiede zwischen der GDPR und anderen Regulierungen ist für Entwickler internationaler Anwendungen, die mit Nutzern aus verschiedenen Rechtsordnungen arbeiten, von entscheidender Bedeutung.

CCPA (California Consumer Privacy Act) unterscheidet sich grundlegend von der GDPR: Sie funktioniert nach dem Opt-out-Modell, nicht nach dem Opt-in-Modell. Nach der CCPA sind Unternehmen verpflichtet, dem Nutzer das Recht zu geben, dem Verkauf seiner Daten zu widersprechen, aber nicht verpflichtet, vorherige Einwilligung für die Erhebung einzuholen. Mit der Verabschiedung des CPRA (California Privacy Rights Act) im Jahr 2023 haben sich die Einwilligungsanforderungen für sensible Daten jedoch der GDPR angenähert.

Die ePrivacy-Richtlinie (Richtlinie über Datenschutz in der elektronischen Kommunikation) ergänzt die GDPR in Bezug auf Cookies und elektronisches Marketing. Im Gegensatz zur GDPR, die alle personenbezogenen Daten regelt, konzentriert sich ePrivacy auf Kommunikationsdaten. Die Anforderung, eine Einwilligung für nicht notwendige Cookies einzuholen, ergibt sich speziell aus der ePrivacy-Richtlinie, nicht aus der GDPR, obwohl der Einwilligungsmechanismus derselbe ist.

Die LGPD Brasiliens kopiert fast vollständig die Struktur der GDPR mit geringfügigen Änderungen: Das Einwilligungsalter wird auf 18 Jahre angehoben, und die Verarbeitung von Daten Verstorbener erfordert die Einwilligung der Erben. Das PIPL Chinas führt dagegen strengere Anforderungen ein: obligatorische Datenlokalisierung, Datenschutz-Folgenabschätzung (DPIA) für alle automatisierten Entscheidungen und Benachrichtigung über grenzüberschreitende Datenübermittlungen.

Typische Fehler bei der Implementierung von GDPR Consent

Die Analyse von Geldbußen und Anordnungen europäischer Aufsichtsbehörden für den Zeitraum 2018-2024 zeigt wiederkehrende Verstöße bei der Umsetzung der Einwilligung. Laut Enforcement Tracker (CMS Law, 2024) stehen mehr als 40 % aller GDPR-Geldbußen im Zusammenhang mit unsachgemäßer Einholung und Verwaltung der Einwilligung. Betrachten wir die häufigsten Fehler.

Vorab angekreuzte Kästchen und passive Einwilligung

Der häufigste Fehler ist die Verwendung vorab angekreuzter Kästchen zur Einholung der Einwilligung. Das Urteil des EuGH in der Rechtssache Planet49 GmbH (C-673/17) hat eindeutig festgestellt, dass eine Einwilligung nicht aus der Untätigkeit des Nutzers abgeleitet werden kann. Trotzdem verwenden viele Anwendungen weiterhin vorab ausgewählte Optionen, insbesondere bei Cookie-Bannern, was zu direkten Geldbußen und Anordnungen führt.

Im Jahr 2024 verhängte die französische Kommission für Informatik und Freiheiten (CNIL) eine Geldbuße in Höhe von 250 Millionen Euro gegen eine große RTB-Werbeholding wegen der Verwendung vorab angekreuzter Kästchen und unzureichend transparenter Nutzerinformationen. Dies ist die höchje Geldbuße im Zusammenhang mit der Einwilligung und zeigt die Priorität der Einwilligungskontrolle für die europäischen Aufsichtsbehörden.

Zusammenfassung von Zwecken in einer einzigen Einwilligung

Viele Anwendungen verlangen eine einzige pauschale Einwilligung für alle Arten der Verarbeitung: Analyse, Personalisierung, Werbung, Übermittlung an Dritte. Dies verstößt direkt gegen die Anforderung der Spezifität (Zweckbindung). Der EDPB betont in den Leitlinien 05/2020: Wenn ein Zweck ohne einen anderen erreicht werden kann, muss der Nutzer in der Lage sein, jedem Zweck getrennt zuzustimmen.

Die irische Datenschutzkommission (DPC) stellte in ihrer Entscheidung zu Meta Platforms Ireland (2023) fest, dass die Zusammenfassung von Werbepersonalisierung und Serviceverbesserung in einer einzigen Einwilligung einen Verstoß darstellt. Meta wurde verpflichtet, getrennte Einwilligungsmechanismen für verschiedene Verarbeitungszwecke in Facebook und Instagram zu implementieren.

Schwieriger oder unmöglicher Widerruf der Einwilligung

Die GDPR verlangt, dass der Widerruf der Einwilligung ebenso einfach ist wie ihre Erteilung. Wenn der Nutzer die Einwilligung mit einem einzigen Klick erteilt hat, darf der Widerruf nicht das Ausfüllen eines Formulars, das Senden einer E-Mail oder einen Anruf beim Support erfordern. In der Praxis verstecken viele Anwendungen den Widerrufsmechanismus tief in den Einstellungen oder verlangen mehrere Schritte zur Durchführung.

Empfohlene Praxis — Hinzufügen eines separaten Bildschirms zur Einwilligungsverwaltung in den App-Einstellungen mit der Möglichkeit, jede Einwilligung einzeln mit einem Kippschalter zu widerrufen. Das Google UMP SDK bietet einen integrierten Mechanismus zur erneuten Anzeige des Einwilligungsformulars, den der Nutzer jederzeit aus den App-Einstellungen aufrufen kann.

Fehlen von Nachweisen für die Einwilligungserteilung

Viele Entwickler verlassen sich auf mündliche Einwilligungen oder bewahren keine Aufzeichnungen über die Einholung der Einwilligung auf. Dies macht es unmöglich, die Anforderung der Nachweisbarkeit (Rechenschaftspflicht) gemäß Artikel 5(2) GDPR zu erfüllen. Bei einer Prüfung wird die Aufsichtsbehörde nicht nur die Datenschutzerklärung anfordern, sondern auch die Protokolle der eingeholten Einwilligungen für den gesamten Datenverarbeitungszeitraum.

Die Lösung ist die Verwendung einer Consent Management Platform (CMP) mit automatischer Protokollierung aller Ereignisse: Formularanzeige, Nutzerauswahl, Dokumentenversion, Zeitstempel. Beliebte CMPs für mobile Apps umfassen Usercentrics, OneTrust und ConsentManager — alle unterstützen die automatische Aufzeichnung von Einwilligungsaudits.