Zustimmung zur Datenschutzerklärung: Warum die Pflicht-Checkbox in Ihren Formularen meist überflüssig ist

Warum eine Datenschutzerklärung keine Zustimmung braucht

Die Datenschutzerklärung ist kein Vertrag. Sie ist eine Information. Die DSGVO verpflichtet Sie, betroffene Personen darüber aufzuklären, wer ihre Daten verarbeitet, zu welchem Zweck, auf welcher Grundlage, wie lange und welche Rechte sie haben. Diese Information müssen Sie bereitstellen – mehr nicht. Der Nutzer muss sie weder lesen noch bestätigen noch akzeptieren.

Einen Vergleich, der das gut trifft: Die Datenschutzerklärung funktioniert wie ein Beipackzettel, nicht wie ein Kaufvertrag. Ob der Empfänger sie tatsächlich liest, ändert an Ihren Pflichten und an der Zulässigkeit der Verarbeitung nichts. Es genügt, wenn sie beim Formular klar erkennbar verlinkt ist.

Hinzu kommt: Eine Einwilligung ist nur eine von mehreren möglichen Rechtsgrundlagen für eine Datenverarbeitung – und für Kontaktformulare meist gerade nicht die passende. Wer Ihnen über ein Formular eine Anfrage schickt, will eine Antwort. Die Verarbeitung der Daten dient dann der Anbahnung oder Durchführung eines Vertrags beziehungsweise Ihrem berechtigten Interesse an der Kommunikation mit Interessenten. Eine Zustimmung brauchen Sie dafür nicht.

Welche Risiken die Pflicht-Checkbox erzeugt

Die Checkbox ist nicht nur überflüssig, sie kann schaden – aus drei Gründen.

Erstens: Eine wirksame Einwilligung muss sich auf einen konkreten, klar bezeichneten Zweck beziehen. Eine pauschale Zustimmung zu einem mehrseitigen Dokument erfüllt das nicht. Sie holen also eine Erklärung ein, die im Zweifel unwirksam ist – und wecken damit die Erwartung, Ihre Verarbeitung stünde und falle mit dieser Zustimmung.

Zweitens: Wenn Sie sich tatsächlich auf eine Einwilligung stützen, kann diese jederzeit und ohne Begründung widerrufen werden. Sie machen sich damit angreifbar, obwohl Sie die Daten ohnehin verarbeiten dürften. Eine Verarbeitung, die auf Vertragsanbahnung oder berechtigtem Interesse beruht, endet nicht auf Zuruf.

Drittens: Wenn das Formular sich ohne Häkchen nicht absenden lässt, koppeln Sie eine Leistung an eine Zustimmung, die Sie gar nicht benötigen. Eine so erzwungene Einwilligung ist nicht freiwillig – und damit unwirksam. Formulierungen wie „Ich akzeptiere die Datenschutzbestimmungen" können zudem den Eindruck erwecken, es handle sich um Vertragsbedingungen ähnlich AGB. Das ist eine gedankliche Vermischung, die Sie in einer Auseinandersetzung nicht gebrauchen können.

Beanstandungen kommen dabei erfahrungsgemäß seltener von Aufsichtsbehörden als von Wettbewerbern, Verbänden oder Betroffenen, die gezielt Websites prüfen.

Wann Sie tatsächlich eine Einwilligung brauchen

Es gibt Fälle, in denen eine aktive Zustimmung zwingend ist – nur bezieht sie sich dann nie auf die Datenschutzerklärung, sondern immer auf einen konkreten Vorgang:

• Newsletter und E-Mail-Werbung: Hier brauchen Sie eine Einwilligung in den Werbeversand, abgesichert durch das Double-Opt-in-Verfahren, also die Bestätigung über einen zugesandten Link. Der Text sollte lauten: „Ich möchte den Newsletter erhalten" – ergänzt um einen Link zu den Datenschutzhinweisen, nicht um eine Zustimmung zu diesen.
• Cookies und Tracking: Für das Speichern und Auslesen von Informationen auf dem Endgerät der Nutzer – also für Analyse-, Marketing- und Komfortfunktionen jenseits des technisch Notwendigen – ist eine vorherige Einwilligung erforderlich. Sie wird über das Consent-Banner eingeholt, mit einer echten Wahlmöglichkeit zwischen Annehmen und Ablehnen.
• Besondere Datenkategorien: Werden etwa Gesundheitsdaten erhoben, gelten strengere Anforderungen und häufig ist eine ausdrückliche Einwilligung nötig.

Die Faustregel: Die Einwilligung gehört zum Zweck, nicht zum Dokument.

Was Sie jetzt an Ihren Formularen prüfen sollten

Gehen Sie Ihre Website mit vier Fragen durch:

• Enthält ein Formular eine Pflicht-Checkbox zur Datenschutzerklärung? Dann prüfen Sie, ob sie ersatzlos entfallen kann – in den meisten Fällen genügt ein gut sichtbarer Link mit einem kurzen Hinweis auf die Datenverarbeitung.
• Auf welcher Rechtsgrundlage verarbeiten Sie die Daten aus dem jeweiligen Formular? Halten Sie das intern fest, das ist Teil Ihrer Dokumentationspflichten.
• Ist Ihre Newsletter-Anmeldung sauber vom Datenschutzhinweis getrennt und über Double-Opt-in abgesichert?
• Bildet Ihre Datenschutzerklärung ab, was Sie tatsächlich tun – einschließlich eingesetzter Tools, Dienstleister und Speicherfristen? Veraltete Erklärungen sind das häufigere und größere Problem als eine fehlende Checkbox.

Wer diese Punkte einmal strukturiert klärt, hat dauerhaft weniger Angriffsfläche – und schlankere Formulare, die weniger Nutzer abspringen lassen.

Wir prüfen Formulare, Einwilligungstexte und Datenschutzerklärungen von Unternehmen regelmäßig im Gesamtzusammenhang und bringen sie mit vertretbarem Aufwand auf einen belastbaren Stand. Sprechen Sie uns an, wenn Sie Ihre Website in diesem Punkt sicher aufstellen wollen.