Die Einwilligung wird häufig als Rechtsgrundlage gemäß (EU-Datenschutzgrundverordnung) DSGVO genutzt, und zwar oft, weil sie auf den ersten Blick eine einfache Lösung zu sein scheint. Bei genauerem Hinsehen zeigt sich jedoch, dass an Einwilligungen hohe Anforderungen gestellt sind und sie in vielen Situationen nicht die stabilste Wahl ist. Besonders bei komplexen Datenflüssen, Drittlandsübermittlungen, KI-basierten Anwendungen sowie bei
Minderjährigen oder sensiblen Daten geraten Verantwortliche mit einer Einwilligung schnell an Grenzen.
Was bedeutet Einwilligung überhaupt?
Eine Einwilligung ist als Rechtsgrundlage nur wirksam, wenn sie freiwillig, informiert, eindeutig und spezifisch erfolgt.
Das bedeutet: Betroffene müssen nachvollziehen können,
- wer ihre Daten verarbeitet,
- welche Daten betroffen sind,
- warum die Daten benötigt werden,
- wohin die Daten übermittelt werden,
- welche Risiken bestehen,
- und dass sie ihre Einwilligung jederzeit widerrufen können.
Schon diese Transparenz vollständig herzustellen, ist in der Praxis oft herausfordernd.
Warum die Einwilligung als Rechtsgrundlage anspruchsvoller ist als gedacht
Freiwilligkeit
In vielen Bereichen, zum Beispiel in Schulen, Kitas, Pflegeeinrichtungen oder am Arbeitsplatz, ist echte Freiwilligkeit kaum vollständig gewährleistet. Hier bestehen häufig Abhängigkeiten oder Erwartungen, die Betroffene bewusst oder unbewusst dazu bringen können, einer Datenverarbeitung zuzustimmen, obwohl sie sich nicht wirklich frei fühlen.
Informiertheit
In vielen Fällen ist es anspruchsvoll, alle Datenflüsse und beteiligten Dienstleister vollständig im Blick zu behalten, gerade, wenn technische Prozesse komplex sind oder mehrere externe Anbieter eingebunden sind. Wenn jedoch nicht klar nachvollziehbar ist, welche Stellen an der Verarbeitung beteiligt sind oder wie einzelne Verarbeitungsschritte ablaufen, kann die Einwilligung nicht alle relevanten Aspekte abdecken und verliert dadurch an Wirksamkeit einer Rechtsgrundlage.
Drittlandsübermittlungen
Gerade die Weitergabe in Länder außerhalb der EU wird häufig unzureichend erklärt. Betroffene müssen wissen, wohin ihre Daten fließen, welche Risiken bestehen, und welche Schutzmaßnahmen gelten.
Externe Dienstleister
Viele Tools arbeiten mit Subdienstleistern oder verarbeiten Daten zu eigenen Zwecken. Wenn Verantwortliche diese Verarbeitung nicht nachvollziehen können, können sie sie auch nicht erklären und die Rechtsgrundlage verliert ihre Wirskamkeit.
Besondere Anforderungen bei Minderjährigen
Bei Minderjährigen gelten besondere Anforderungen: Unter 16 Jahren (bzw. je nach nationaler Regelung früher) ist eine Zustimmung der Sorgeberechtigten notwendig, und die Informationen müssen so aufbereitet sein, dass sie für Kinder verständlich und nachvollziehbar sind.
Sensible Daten benötigen besondere Sorgfalt
Bei Gesundheitsdaten, biometrischen Merkmalen oder politischen bzw. religiösen Überzeugungen gelten erhöhte Anforderungen. Hier besteht ein besonders hoher Aufklärungsbedarf: Die Einwilligung muss ausdrücklich erfolgen, und der Zweck der Verarbeitung muss sehr genau beschrieben sein – etwas, das bei komplexen technischen Systemen nicht immer vollständig umsetzbar ist.
KI-basierte Tools und kostenlose Online-Anwendungen
Der Einsatz von KI‑Tools – wie Text‑ oder Bildgeneratoren, Übersetzungs‑ oder Chatdiensten – erschwert eine wirksame Einwilligung, da viele dieser Anwendungen Daten im Drittland verarbeiten, zu Trainingszwecken nutzen oder an Subdienstleister weitergeben. Die tatsächlichen Prozesse sind oft nicht vollständig nachvollziehbar, sodass eine transparente Aufklärung kaum möglich ist. Daher müssen Verantwortliche klar festlegen, welche KI‑Anwendungen zu welchen Zwecken eingesetzt werden, um die Verarbeitung – einschließlich Profiling und automatisierter Entscheidungen – im Sinne der KI‑Verordnung überhaupt abbilden zu können.
Warum die Einwilligung als Rechtsgrundlage oft keine stabile Lösung ist
Eine Einwilligung klingt flexibel, ist aber in der Praxis oft unsicher, weil:
- Transparenz schwer herzustellen ist,
- sie jederzeit widerrufen werden kann,
- internationale Datenflüsse schwer vollständig erklärbar sind,
- KI-Systeme oft intransparent arbeiten,
- Minderjährige besonderen Schutz brauchen,
- sensible Daten sehr strenge Anforderungen haben.
Schon ein unbekannter Subdienstleister kann ausreichen, um eine Einwilligung rechtlich wackelig zu machen.
Verwaltungsaufwand von Einwilligungen als Rechtsgrundlage
Der Umgang mit Einwilligungserklärungen bringt zudem einen nicht zu unterschätzenden Verwaltungsaufwand mit sich. Schon die erstmalige Einholung kann herausfordernd sein – insbesondere, wenn technische Systeme eine digitale Umsetzung nur eingeschränkt unterstützen oder die verantwortliche Stelle dezentral organisiert ist. Hinzu kommt die laufende Verwaltung von Einwilligungen, etwa bei einem breiten Dienstleistungsangebot oder mehreren Geschäftsbereichen. Darüber hinaus müssen Prozesse existieren, um Widerrufe zeitnah zu bearbeiten, die Aktualität von Einwilligungen zu prüfen – beispielsweise bei Änderungen in der rechtlichen Betreuung oder den Sorgeverhältnissen – und um zu beachten, wenn sich Vertragsverhältnisse wie Arbeitsverträge, Betreuungen oder Mitgliedschaften ändern. Ohne gut abgestimmte organisatorische Abläufe kann die Einwilligung daher schnell zu einem komplexen Verwaltungsprozess werden.
All diese Punkte zeigen, dass die Einwilligung nicht nur inhaltlich anspruchsvoll ist, sondern auch organisatorisch einen erheblichen Aufwand verursachen kann. Vor diesem Hintergrund lohnt sich ein Blick darauf, ob andere Rechtsgrundlagen in der jeweiligen Situation eine stabilere und praktikablere Basis bieten können.
Alternative Rechtsgrundlage – oft verlässlicher
Je nach Situation können folgende Rechtsgrundlagen deutlich stabiler sein:
- Vertragserfüllung
- rechtliche Verpflichtungen
- berechtigte Interessen
- öffentliche Aufgaben
- lebenswichtige Interessen
Sie sind nicht vom jederzeit möglichen Widerruf abhängig und lassen sich häufig klarer begründen. Trotzdem müssen auch sie sorgfältig geprüft werden – etwa bei der Interessenabwägung im Rahmen von Art. 6 Abs. 1 lit. f DSGVO.
Fazit
Die Einwilligung bleibt ein wichtiges Instrument – aber nur, wenn sie wirklich transparent, freiwillig und vollständig verstanden ist und alle beteiligten Systeme, insbesondere KI-Tools, nachvollziehbar beschrieben werden können.
In vielen Fällen lohnt sich ein Blick auf alternative Rechtsgrundlagen, die langfristig stabiler und besser handhabbar sind.
