In einem Satz. DSGVO Artikel 7 legt vier Bedingungen fest, die die Einwilligung (definiert in Artikel 4 Nr. 11) zu einer wirksamen Rechtsgrundlage erheben: (1) der Verantwortliche muss die Einwilligung nachweisen können, (2) die Einwilligungsaufforderung muss verständlich und von anderen Sachverhalten klar zu unterscheiden sein, (3) die betroffene Person muss die Einwilligung so einfach widerrufen können wie sie sie gegeben hat, und (4) die Einwilligung muss freiwillig sein — nicht gebündelt, nicht erzwungen, nicht Voraussetzung für die Dienstleistung.
Artikel 7 DSGVO macht Artikel 6 Absatz 1 Buchstabe a operativ. Die meisten BfDI- und CNIL-Sanktionen wegen “ungültiger Einwilligung” zitieren tatsächlich Artikel 7-Bedingungen: fehlender Einwilligungsnachweis, Widerrufsmechanismus schwieriger als das Opt-in, AGB mit Marketing-Einwilligung gebündelt, oder Dienstzugang von Einwilligung abhängig. Maßgeblich für die Auslegung sind die Leitlinien 05/2020 des EDPB zur Einwilligung, die die vier Bedingungen mit konkreten Fallbeispielen unterlegen.
Wichtige Punkte
- Artikel 7 erhebt die Einwilligung von “jeder Zustimmung” zu nachweisbarer, unterscheidbarer, widerrufbarer und freiwilliger Einwilligung.
- Die Beweislast liegt beim Verantwortlichen — zeitgestempelte Aufzeichnungen jeder Einwilligung aufbewahren.
- Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung — gleiche Friktion, gleiche Anzahl von Klicks.
- “Freiwillig” schließt gebündelte Einwilligung aus (AGB + Marketing in einer Box), Einwilligung im Arbeitnehmer-Arbeitgeber-Verhältnis (Machtungleichgewicht), und Einwilligung als Voraussetzung für die Dienstleistung.
- Artikel 7-Verstöße werden nach Artikel 83 Absatz 5 sanktioniert — bis zu 4 % des weltweiten Umsatzes.
1. Artikel 7 Text — die vier Bedingungen
Artikel 7 — Bedingungen für die Einwilligung
-
Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat.
-
Erfolgt die Einwilligung im Rahmen einer schriftlichen Erklärung, die auch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist.
-
Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Der Widerruf muss so einfach wie die Erteilung der Einwilligung sein.
-
Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss berücksichtigt werden, ob die Erfüllung eines Vertrags von der Einwilligung zur Verarbeitung von personenbezogenen Daten abhängig gemacht wird, die nicht zur Erfüllung dieses Vertrags erforderlich sind.
2. Bedingung 1 — Nachweisbarkeit (Artikel 7 Absatz 1)
Der Verantwortliche muss den Einwilligungsnachweis aufbewahren.
Was “nachweisbar” in der Praxis bedeutet:
- Wer eingewilligt hat (Benutzer-ID, E-Mail, Hash)
- Wann die Einwilligung gegeben wurde (Zeitstempel)
- Wozu sie eingewilligt haben (spezifischer Zweck + Version des Einwilligungstextes)
- Wie sie eingewilligt haben (Kanal: Webformular, In-App, Papier)
3. Bedingung 2 — Verständlich und unterscheidbar (Artikel 7 Absatz 2)
Die Einwilligungsaufforderung muss:
- Klar unterscheidbar sein von anderen Sachverhalten
- Verständlich — ein typischer Benutzer versteht, womit er einverstanden ist
- Leicht zugänglich — nicht versteckt
- Klare und einfache Sprache — kein Juristendeutsch
Der EuGH in Planet49 (Rechtssache C-673/17, Oktober 2019) hat vorangekreuzte Einwilligungskästchen speziell aus Artikel 7 Absatz 2-Gründen für ungültig erklärt.
4. Bedingung 3 — Widerruf so einfach wie die Einwilligung (Artikel 7 Absatz 3)
Dies ist die am häufigsten verletzte Bedingung.
Konforme Widerrufsmechanismen:
- Ein-Klick-Abmeldelink in jeder Marketing-E-Mail
- “Cookie-Einstellungen”-Link im Footer
- “Deaktivieren”-Schalter in Kontoeinstellungen, wirkt innerhalb von 24 Stunden
Nicht konforme Mechanismen (BfDI/CNIL-sanktioniert):
- Postalische Anfrage erforderlich
- Anruf an kostenpflichtige Kundenservicelinie
- Kontolöschung als einziger Weg
- Widerruf, der 30+ Tage in Kraft tritt
5. Bedingung 4 — Freiwillig (Artikel 7 Absatz 4)
Die Einwilligung ist nicht freiwillig, wenn:
- Dienst von Einwilligung abhängig ist (für nicht-essenzielle Verarbeitung)
- Machtungleichgewicht besteht — typischerweise Arbeitgeber-Arbeitnehmer
- Mehrere Zwecke gebündelt sind
- Nachteilige Konsequenzen aus der Ablehnung folgen
Cookie-Walls: BfDI und EDPB haben eine differenzierte Position. Eine Cookie-Wall ist nicht automatisch ungültig, wenn eine bezahlte Alternative zu einem angemessenen Preis angeboten wird. Für Websites kommt neben Artikel 7 die Einwilligungspflicht aus § 25 TDDDG hinzu — siehe Cookie-Banner nach TTDSG/TDDDG.
6. Durchsetzungslandschaft
| Jahr | Sanktion | Artikel 7-Verstoß |
|---|---|---|
| 2019 | Google (CNIL) — 50 Mio. € | Unzureichende Einwilligung für personalisierte Werbung |
| 2020 | 1&1 (BfDI) — 9,55 Mio. € | Authentifizierungsmängel bei Einwilligung |
| 2021 | WhatsApp Ireland (DPC, EDPB) — 225 Mio. € | Transparenz bei Einwilligung |
| 2023 | Meta Platforms Ireland (DPC) — 390 Mio. € | Rechtsgrundlage bei verhaltensbasierter Werbung |
| 2024-2025 | Mehrere DACH-Sanktionen | Widerrufs-Asymmetrie, Bündelung, Dark Patterns |
6a. Dark Patterns: die neue Durchsetzungsfront
Seit 2022 rücken irreführende Gestaltungsmuster (Dark Patterns) in den Fokus der Aufsicht. Der EDPB hat in seinen Leitlinien 03/2022 typische Muster benannt, die eine Einwilligung nach Artikel 7 unwirksam machen: ein grün hervorgehobener “Alle akzeptieren”-Button neben einem grauen, versteckten “Ablehnen”-Link; Einwilligungsdialoge, die den Ablehnen-Weg über mehrere Klicks strecken; oder Formulierungen, die ein schlechtes Gewissen erzeugen (“Nein, ich möchte auf Rabatte verzichten”).
Der Kern des Problems ist die Symmetrie: Artikel 7 Absatz 3 verlangt, dass der Widerruf so einfach wie die Erteilung sein muss — und die Aufsichtsbehörden übertragen diesen Symmetriegedanken zunehmend auch auf die Erteilung selbst. Ist Ablehnen erkennbar schwerer als Zustimmen, gilt die Einwilligung als nicht freiwillig.
Praktische Konsequenz für Cookie-Banner: “Ablehnen” muss auf der ersten Ebene, gleich sichtbar und mit gleichem Aufwand erreichbar sein wie “Akzeptieren”. Die französische CNIL hat dieses Prinzip in mehreren Verfahren gegen große Plattformen durchgesetzt; deutsche Landesbehörden folgen der Linie. Wer Banner gestaltet, sollte jeden zusätzlichen Klick auf dem Ablehnen-Weg als Sanktionsrisiko behandeln.
7. Implementierungs-Checkliste
- ☐ Einwilligung aufgezeichnet mit: Benutzer-ID, Zeitstempel, Zweck, Version der Datenschutzerklärung
- ☐ Einwilligungs-UI unterscheidet die Einwilligungsaufforderung von AGB
- ☐ Ein Zweck = eine Einwilligung (keine Bündelung)
- ☐ Vorangekreuzte Kästchen überall entfernt
- ☐ Widerrufsmechanismus dokumentiert und getestet (funktioniert in <24h)
- ☐ Benutzer wird über den Widerrufsmechanismus vor der Einwilligung informiert
- ☐ Dienstzugang nicht von optionaler Einwilligung abhängig
- ☐ Arbeitnehmer-Arbeitgeber-Einwilligung vom DSB überprüft (selten gültig)
8. Werkzeuge
Fazit
Artikel 7 ist die operative Disziplin hinter der Einwilligung. Die vier Bedingungen — Nachweisbarkeit, Verständlichkeit, Widerrufbarkeit, Freiwilligkeit — lesen sich kurz, erfordern aber jeweils ein System: ein Einwilligungsprotokoll, ein UI-Design, einen Widerrufsfluss und eine architektonische Entscheidung gegen Bündelung.
FAQ
Was ist DSGVO Artikel 7?
Artikel 7 legt vier Bedingungen für die Wirksamkeit der Einwilligung als Rechtsgrundlage fest: Sie muss nachweisbar, verständlich und klar unterscheidbar, so einfach widerrufbar wie erteilt und freiwillig gegeben sein.
Gilt Artikel 7 für alle Einwilligungen nach DSGVO?
Ja — wann immer die Einwilligung als Rechtsgrundlage nach Artikel 6 Absatz 1 Buchstabe a oder als ausdrückliche Einwilligungsbedingung nach Artikel 9 Absatz 2 Buchstabe a geltend gemacht wird, gelten die Bedingungen des Artikels 7.
Kann ich die Einwilligung zur Voraussetzung für die Nutzung meines Dienstes machen?
Nur wenn die Einwilligung eine Verarbeitung abdeckt, die strikt erforderlich für den Dienst ist. Die Konditionierung des Dienstes auf die Einwilligung zu optionaler Verarbeitung verletzt Artikel 7 Absatz 4.
Wie lange muss ich Einwilligungsaufzeichnungen aufbewahren?
Für die Dauer der Einwilligung + eine angemessene Beweisspeicherungsfrist nach dem Widerruf. Die CNIL-Praxis schlägt 24-36 Monate nach Widerruf als verteidigbaren Standard vor.
Können Arbeitnehmer eine gültige Einwilligung abgeben?
Der EDPB hat festgestellt, dass die Einwilligung in einem Arbeitnehmer-Arbeitgeber-Verhältnis aufgrund des Machtungleichgewichts fast nie gültig ist. Ausnahmen sind Konstellationen ohne Nachteil bei Verweigerung — etwa die freiwillige Nutzung von Mitarbeiterfotos im Intranet. In der Regel stützen Arbeitgeber die Verarbeitung von Beschäftigtendaten jedoch auf § 26 BDSG — zur Reichweite dieser Norm siehe BDSG vs. DSGVO — oder ein berechtigtes Interesse statt auf die Einwilligung.