Consent Management bezeichnet die Verwaltung von Einwilligungen zur Verarbeitung personenbezogener Daten. Unternehmen nutzen dafür häufig sogenannte Consent-Management-Plattformen (CMP), um Einwilligungen einzuholen, zu dokumentieren und zu verwalten. Besonders relevant ist Consent Management beim Einsatz von Cookies und Tracking-Technologien auf Websites. Rechtliche Anforderungen ergeben sich insbesondere aus der Datenschutz-Grundverordnung (DS-GVO) und § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).
Wie funktioniert Consent Management?
Consent Management ermöglicht es Unternehmen, die Einwilligungsentscheidungen von Nutzern systematisch zu erfassen und bei der Datenverarbeitung zu berücksichtigen.
Auf Websites erfolgt dies häufig über ein Cookie-Banner, das beim ersten Besuch angezeigt wird.
Nutzer erhalten dort Informationen über die eingesetzten Technologien und können entscheiden, welchen Verarbeitungen sie zustimmen möchten.
Eine Consent-Management-Plattform übernimmt dabei insbesondere folgende Aufgaben:
- Einwilligungen einholen: Nutzer können bestimmten Verarbeitungszwecken ausdrücklich zustimmen.
- Auswahlmöglichkeiten bereitstellen: Einwilligungspflichtige Technologien können beispielsweise nach Statistik, Personalisierung und Marketing unterschieden werden.
- Entscheidungen dokumentieren: Erteilte Einwilligungen werden nachvollziehbar gespeichert.
- Einwilligungen verwalten: Nutzer können ihre Einstellungen nachträglich ändern.
- Technologien steuern: Einwilligungspflichtige Cookies und vergleichbare Technologien werden erst nach entsprechender Zustimmung aktiviert.
Ein wirksames Consent Management soll sicherstellen, dass die Entscheidungen der Nutzer bei der technischen Verarbeitung tatsächlich berücksichtigt werden.
Die bloße Anzeige eines Cookie-Banners reicht dafür nicht aus.
Welche rechtlichen Anforderungen gelten für Consent Management?
Die Anforderungen an eine wirksame datenschutzrechtliche Einwilligung ergeben sich insbesondere aus Art. 4 Nr. 11 und Art. 7 DS-GVO.
Danach muss eine Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden.
Für das Speichern von Informationen auf Endgeräten oder den Zugriff auf bereits gespeicherte Informationen ist zudem § 25 TDDDG relevant.
Soweit keine gesetzliche Ausnahme greift, ist hierfür eine Einwilligung erforderlich.
Ein rechtskonformes Consent Management muss insbesondere folgende Anforderungen berücksichtigen:
- Freiwilligkeit: Nutzer müssen eine echte Wahl haben und dürfen nicht unangemessen zur Zustimmung gedrängt werden.
- Informierte Entscheidung: Die Zwecke und wesentlichen Umstände der Verarbeitung müssen verständlich erläutert werden.
- Aktive Zustimmung: Eine Einwilligung muss durch eine eindeutige bestätigende Handlung erfolgen. Vorangekreuzte Auswahlfelder reichen nicht aus.
- Zweckbezogenheit: Nutzer müssen nachvollziehen können, welchen Verarbeitungszwecken sie zustimmen.
- Widerrufsmöglichkeit: Eine erteilte Einwilligung muss jederzeit widerrufen werden können.
- Nachweisbarkeit: Unternehmen müssen nachweisen können, dass eine wirksame Einwilligung erteilt wurde.
Einwilligungspflichtige Technologien dürfen grundsätzlich erst eingesetzt werden, nachdem die erforderliche Zustimmung vorliegt.
Eine Datenschutzerklärung oder ein bloßer Hinweis auf die Verwendung von Cookies ersetzt keine wirksame Einwilligung.
Wann ist eine Consent-Management-Plattform erforderlich?
Die DS-GVO schreibt nicht generell den Einsatz einer bestimmten Consent-Management-Plattform vor.
Entscheidend ist vielmehr, dass Unternehmen die gesetzlichen Anforderungen an das Einholen, Dokumentieren und Berücksichtigen von Einwilligungen erfüllen.
Eine Consent-Management-Plattform ist insbesondere dann sinnvoll, wenn auf einer Website verschiedene einwilligungspflichtige Technologien eingesetzt werden.
Hierzu können beispielsweise Analyse- und Marketingdienste gehören.
Beim Einsatz solcher Technologien müssen Unternehmen prüfen, ob eine Einwilligung nach § 25 TDDDG und gegebenenfalls zusätzlich nach der DS-GVO erforderlich ist.
Nach § 25 Abs. 2 TDDDG ist eine Einwilligung insbesondere dann nicht erforderlich, wenn die Speicherung von Informationen oder der Zugriff darauf unbedingt notwendig ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Ob eine solche Ausnahme vorliegt, hängt von der konkreten Funktion und dem jeweiligen Einsatz der Technologie ab.
Auch bei einer Ausnahme von der Einwilligungspflicht nach dem TDDDG müssen die Anforderungen der DS-GVO beachtet werden, sofern personenbezogene Daten verarbeitet werden.
Eine geeignete Consent-Management-Plattform kann Unternehmen dabei unterstützen, unterschiedliche Einwilligungsentscheidungen technisch umzusetzen und die erforderlichen Nachweise zu führen.
Wie können Nutzer ihre Einwilligung widerrufen?
Nach Art. 7 Abs. 3 DS-GVO haben betroffene Personen das Recht, eine erteilte datenschutzrechtliche Einwilligung jederzeit zu widerrufen.
Der Widerruf muss dabei so einfach möglich sein wie die Erteilung der Einwilligung.
Auf Websites kann dies beispielsweise über einen dauerhaft erreichbaren Link zu den Cookie-Einstellungen erfolgen.
Dort sollten Nutzer ihre zuvor getroffenen Entscheidungen ändern und erteilte Einwilligungen zurücknehmen können.
Nach einem wirksamen Widerruf darf eine auf diese Einwilligung gestützte Verarbeitung für die Zukunft nicht fortgesetzt werden.
Die Rechtmäßigkeit der Verarbeitung, die vor dem Widerruf auf Grundlage der Einwilligung erfolgt ist, bleibt davon unberührt.
Unternehmen müssen deshalb sicherstellen, dass eine Änderung der Einwilligungseinstellungen auch technisch wirksam umgesetzt wird.
Praxisbeispiel: Einwilligungsverwaltung auf einer Unternehmenswebsite
Ein Unternehmen betreibt eine Website, auf der neben technisch erforderlichen Funktionen auch Analyse- und Marketingtechnologien eingesetzt werden sollen.
Beim ersten Besuch erscheint ein Cookie-Banner, das die verschiedenen Verarbeitungszwecke erläutert.
Der Nutzer kann zwischen der Zustimmung zu den angebotenen Zwecken und der Ablehnung nicht erforderlicher Technologien wählen.
Er entscheidet sich zunächst dafür, lediglich die technisch erforderlichen Funktionen zuzulassen.
Die eingesetzte Consent-Management-Plattform speichert diese Entscheidung und verhindert, dass einwilligungspflichtige Analyse- und Marketingtechnologien aktiviert werden.
Bei einem späteren Besuch stimmt der Nutzer zusätzlich der Verwendung von Analysetechnologien zu.
Die Plattform dokumentiert die Einwilligung und ermöglicht die entsprechende Aktivierung.
Einige Tage später widerruft der Nutzer seine Zustimmung über die Cookie-Einstellungen.
Das System berücksichtigt den Widerruf und unterbindet die weitere einwilligungsabhängige Verarbeitung für diesen Zweck.
Das Beispiel zeigt, wie Consent Management das Einholen, Dokumentieren und Widerrufen von Einwilligungen technisch unterstützt.
legal data Einschätzung: Unternehmen sollten Consent Management nicht auf die Gestaltung eines Cookie-Banners reduzieren. Entscheidend ist, dass die Einwilligungsentscheidungen der Nutzer rechtlich wirksam eingeholt, nachvollziehbar dokumentiert und technisch zuverlässig umgesetzt werden. Besonders wichtig sind transparente Informationen, echte Auswahlmöglichkeiten und ein einfach zugänglicher Widerruf. Eine regelmäßig überprüfte Consent-Management-Lösung kann dazu beitragen, Datenschutzverstöße beim Einsatz von Analyse- und Marketingtechnologien zu vermeiden.
Rechtsgrundlagen
- Art. 4 Nr. 11 DS-GVO
- Art. 5 Abs. 2 DS-GVO
- Art. 6 Abs. 1 lit. a DS-GVO
- Art. 7 DS-GVO
- § 25 TDDDG; ergänzend Art. 12 und Art. 13 DS-GVO
Häufige Fragen zu Consent Management
Was bedeutet Consent Management?
Consent Management bezeichnet die systematische Verwaltung von Einwilligungen. Unternehmen können damit Einwilligungen einholen, dokumentieren, berücksichtigen und deren Widerruf ermöglichen. Besonders häufig wird Consent Management auf Websites eingesetzt.
Was ist eine Consent-Management-Plattform (CMP)?
Eine Consent-Management-Plattform ist eine technische Lösung zur Verwaltung von Einwilligungsentscheidungen. Sie kann beispielsweise Cookie-Banner bereitstellen, Einwilligungen dokumentieren und die Aktivierung einwilligungspflichtiger Technologien steuern.
Ist Consent Management nach der DS-GVO verpflichtend?
Unternehmen müssen die gesetzlichen Anforderungen an Einwilligungen erfüllen, wenn sie Datenverarbeitungen auf eine Einwilligung stützen. Eine bestimmte Consent-Management-Plattform ist jedoch nicht generell vorgeschrieben.
Braucht jede Website ein Cookie-Banner?
Nein. Ein Cookie-Banner ist nicht allein deshalb erforderlich, weil eine Website Cookies verwendet. Entscheidend ist, ob einwilligungspflichtige Technologien eingesetzt werden. Für technisch unbedingt erforderliche Vorgänge können gesetzliche Ausnahmen gelten.
Kann eine erteilte Einwilligung nachträglich widerrufen werden?
Ja. Nach Art. 7 Abs. 3 DS-GVO kann eine datenschutzrechtliche Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf muss so einfach möglich sein wie die Erteilung der Einwilligung.
Verwandte Begriffe.
Einwilligung Die Einwilligung ist eine der gesetzlichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten nach der Datenschutz-Grundverordnung (DS-GVO). Sie ermöglicht es betroffenen Personen, selbst darüber zu entscheiden, ob ihre personenbezogenen Daten für bestimmte Zwecke verarbeitet werden dürfen. Damit eine Einwilligung wirksam ist, muss sie freiwillig, informiert, für einen bestimmten Zweck und durch eine eindeutige bestätigende Handlung erfolgen. Die rechtlichen Grundlagen ergeben sich insbesondere aus Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DS-GVO. Art. 4 Nr. 11 DS-GVO Datenschutzerklärung Eine Datenschutzerklärung informiert betroffene Personen darüber, wie ein Unternehmen oder eine andere verantwortliche Stelle personenbezogene Daten verarbeitet. Sie erläutert insbesondere die Zwecke und Rechtsgrundlagen der Datenverarbeitung, die Speicherdauer und die Rechte der betroffenen Personen. Die rechtlichen Anforderungen ergeben sich aus Art. 12 bis 14 der Datenschutz-Grundverordnung (DS-GVO). Ziel ist es, eine transparente und nachvollziehbare Datenverarbeitung sicherzustellen. 