Datenschutzeinwilligung Mitarbeiter Österreich

Die Datenschutzeinwilligung Mitarbeiter ist ein nach DSGVO Art. 7 (EU Nr. 2016/679); DSG §4 (BGBl I Nr. 165/1999 idF BGBl I Nr. 24/2018) geregeltes Rechtsdokument in Österreich. Er verfügt die Verteilung des Nachlasses an die im Testament benannten Begünstigten nach dem Tod.

Im Arbeitsverhältnis ist die Einwilligung nach DSGVO Art. 7 jedoch eine problematische Rechtsgrundlage, da das Ungleichgewicht zwischen Arbeitgeber und Arbeitnehmer die Freiwilligkeit der Einwilligung in Frage stellt. Der Österreichische Datenschutzrat und die Datenschutzbehörde (DSB) haben in ihrer Praxis anerkannt, dass im Arbeitsverhältnis Einwilligungen nur in klar abgegrenzten Situationen als freiwillig gelten können — etwa wenn der Arbeitnehmer einen tatsächlichen Vorteil erhält oder die Verweigerung keine negativen Konsequenzen hat (Datenschutzbehörde, DSB-D123.270/0005-DSB/2019). Für die meisten arbeitsrechtlichen Datenverarbeitungen ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) die sachgerechtere Rechtsgrundlage.

Dennoch gibt es im österreichischen Arbeitsverhältnis Situationen, in denen eine Mitarbeiter-Einwilligung nach DSGVO Art. 7 erforderlich ist: bei der Nutzung von Mitarbeiterfotos für Marketingzwecke (Recht am eigenen Bild nach §78 UrhG — Urheberrechtsgesetz, BGBl Nr. 111/1936); bei der Verarbeitung besonderer Datenkategorien (Gesundheitsdaten, biometrische Daten nach Art. 9 DSGVO, z.B. Fingerabdruckscan für Zugangssysteme); bei der freiwilligen Teilnahme an anonymisierten Mitarbeiterbefragungen; bei der Weitergabe von Kontaktdaten an Betriebsräte oder externe Partner.

Das Datenschutzgesetz (DSG) §4 Abs. 2 legt fest, dass die Einwilligung eines Arbeitnehmers für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO — Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit) immer schriftlich erfolgen muss. Die Datenschutzbehörde (DSB, drv.gv.at) ist die zuständige Aufsichtsbehörde nach Art. 51 DSGVO und kann bei Verstößen Geldstrafen bis €20.000.000 oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) verhängen.

Der Europäische Datenschutzausschuss (EDSA/EDPB) hat in seiner Leitlinie 05/2020 zur Einwilligung klargestellt, dass im Beschäftigungskontext eine Einwilligung regelmäßig nicht freiwillig und damit unwirksam ist. Die österreichische Datenschutzbehörde folgt dieser Leitlinie — eine wirksame Mitarbeiter-Einwilligung setzt voraus: echte Wahlfreiheit, kein Nachteil bei Verweigerung, klare Abtrennbarkeit von anderen Einwilligungen (Koppelungsverbot nach Art. 7 Abs. 4 DSGVO).

Die österreichische Datenschutzbehörde (DSB, dsb.gv.at) hat in zahlreichen Bescheiden klargestellt, dass Einwilligungen von Arbeitnehmern nach Art. 7 DSGVO im Beschäftigungskontext einer erhöhten Beweislastpflicht unterliegen. Der Verantwortliche (Arbeitgeber) muss nachweisen, dass die Einwilligung freiwillig, informiert, ausdrücklich und jederzeit widerrufbar erfolgt ist. Das Schriftformgebot für Arbeitnehmer-Einwilligungen nach SS 4 Abs. 1 DSG erleichtert diese Nachweisführung erheblich. EWR-Dimension: Die DSGVO gilt in allen 27 EU-Mitgliedstaaten sowie in Norwegen, Island und Liechtenstein. Für österreichische Arbeitgeber bedeutet das: Datenübermittlungen innerhalb des EWR sind ohne spezielle Genehmigung zulässig (Art. 44 DSGVO). Für Übermittlungen in Drittstaaten (z.B. USA, Indien, China) gelten hingegen die strengen Anforderungen der Art. 44-49 DSGVO.

Die Datenschutzeinwilligung für Mitarbeiter in Österreich nach DSGVO Art. 7 und DSG §4 wird in folgenden Situationen benötigt:

Mitarbeiterfotos und -videos für Öffentlichkeitsarbeit: Wenn der Arbeitgeber Fotos oder Videos des Mitarbeiters für die Unternehmenswebsite, Social-Media-Kanäle, Broschüren oder Marketingmaterialien verwenden möchte, bedarf dies einer ausdrücklichen schriftlichen Einwilligung nach §78 UrhG (Recht am eigenen Bild) in Verbindung mit DSGVO Art. 6 Abs. 1 lit. a und Art. 7. Der Arbeitnehmer kann diese Einwilligung jederzeit widerrufen (Art. 7 Abs. 3 DSGVO).

Biometrische Daten für Zugangssysteme: Wenn der Arbeitgeber biometrische Daten (Fingerabdruck, Gesichtserkennung, Venenscan) für Zugangskontrollsysteme verarbeitet, handelt es sich um besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Eine ausdrückliche schriftliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und DSG §4 Abs. 2 ist erforderlich, wenn keine andere Rechtsgrundlage (Betriebsvereinbarung nach §96 Abs. 1 Z 3 ArbVG) vorliegt.

Freiwillige Mitarbeiterumfragen und Feedback-Programme: Bei anonymisierten oder pseudonymisierten Mitarbeiterumfragen kann die Einwilligung als Rechtsgrundlage dienen, wenn die Teilnahme wirklich freiwillig ist und keine negativen Folgen bei Nicht-Teilnahme entstehen.

Verarbeitung von Gesundheitsdaten: Bei der Erfassung von Gesundheitsdaten des Arbeitnehmers, die über die ASVG-Pflichten (§4 ASVG) und die Entgeltfortzahlung (AngG §8) hinausgehen — z.B. freiwillige betriebliche Gesundheitsförderung, Gesundheitschecks — ist eine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich.

Weitergabe von Mitarbeiterdaten an externe Partner: Wenn personenbezogene Daten des Mitarbeiters an Dritte (z.B. externe Schulungsanbieter, Mitarbeitervorteilsprogramme, betriebliche Sozialeinrichtungen) weitergegeben werden sollen, ist eine Einwilligung erforderlich, soweit keine andere DSGVO-Rechtsgrundlage (Art. 6 Abs. 1 lit. b oder c) einschlägig ist.

Bei Nutzung von Mitarbeiterfotos auf Unternehmenswebsite und Social Media: Die Veroefffentlichung von Mitarbeiterfotos auf der Unternehmenswebsite (SS 78 UrhG) und auf sozialen Netzwerken bedarf der ausdrücklichen Einwilligung des Mitarbeiters. Diese Einwilligung muss separat für jeden Verwendungskontext eingeholt werden. Bei der Einführung biometrischer Zugangssysteme: Biometrische Daten sind nach Art. 9 DSGVO besondere Kategorie personenbezogener Daten. Für ihre Verarbeitung ist eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich. Ohne Rechtsgrundlage ist der Einsatz biometrischer Systeme verboten und mit Bussgeld bis zu 4 Mio. Euro oder 2% des globalen Jahresumsatzes bedroht (Art. 83 Abs. 4 DSGVO). Bei Videoüberwachung am Arbeitsplatz: Videoüberwachung am Arbeitsplatz (SS 12 DSG) ist in Österreich nur unter strengen Voraussetzungen zulässig: Betriebsvereinbarung (SS 96 Abs. 1 Z 3 ArbVG) oder bei Fehlen eines Betriebsrats die ausdrückliche Einwilligung jedes einzelnen Mitarbeiters.

Die Datenschutzeinwilligung für Mitarbeiter in Österreich nach DSGVO Art. 7 und DSG §4 enthält folgende wesentliche Elemente. Auf forms-legal.com steht eine vollständig konforme Vorlage bereit, die alle Anforderungen der DSGVO und des DSG erfüllt.

Identifikation des Verantwortlichen (Controller): Vollständiger Name des Arbeitgebers (Firma, Firmenbuchnummer nach FBG), Adresse und Kontaktdaten des Datenschutzbeauftragten (DSB — data protection officer, sofern nach Art. 37 DSGVO bestellt — für Unternehmen mit regelmäßig mehr als 250 Mitarbeitern oder mit umfangreicher Verarbeitung sensibler Daten).

Beschreibung der verarbeiteten Daten: Genaue Angabe, welche personenbezogenen Daten verarbeitet werden (Art, Umfang, Kategorie). Bei Gesundheitsdaten oder biometrischen Daten (Art. 9 DSGVO): besondere Kennzeichnung als besondere Kategorie. Angabe der Datenherkunft (direkt vom Arbeitnehmer erhoben vs. aus anderen Quellen).

Zweck der Verarbeitung: Klare, spezifische Beschreibung des Verarbeitungszwecks nach dem Zweckbindungsgrundsatz (Art. 5 Abs. 1 lit. b DSGVO). Keine pauschale Einwilligung für alle möglichen Zwecke — jeder Zweck muss einzeln beschrieben werden. Getrennte Einwilligungen für verschiedene Zwecke (Koppelungsverbot nach Art. 7 Abs. 4 DSGVO).

Empfänger der Daten: Angabe aller Kategorien von Empfängern (intern: andere Abteilungen; extern: Drittanbieter, Auftragsverarbeiter nach Art. 28 DSGVO). Bei Übermittlung in Drittländer außerhalb der EU: Angabe der Garantien (Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, Angemessenheitsbeschluss nach Art. 45 DSGVO).

Rechte des Arbeitnehmers (Betroffenenrechte, Art. 13–22 DSGVO): Ausdrücklicher Hinweis auf: Recht auf Auskunft (Art. 15 DSGVO); Recht auf Berichtigung (Art. 16); Recht auf Löschung (Art. 17 — „Recht auf Vergessenwerden"); Recht auf Einschränkung (Art. 18); Recht auf Datenübertragbarkeit (Art. 20); Widerspruchsrecht (Art. 21); jederzeitiger Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) ohne Nachteile.

Freiwilligkeitsbestätigung: Ausdrückliche Bestätigung, dass die Einwilligung freiwillig erteilt wird und kein Nachteil bei Verweigerung entsteht — erforderlich nach DSGVO Art. 7 und der DSB-Praxis. Hinweis auf das Beschwerderecht bei der Datenschutzbehörde (DSB, Wickenburggasse 8, 1080 Wien, [email protected]) nach Art. 77 DSGVO.

Beschreibung des Verarbeitungszwecks (Art. 5 Abs. 1 lit. b DSGVO - Zweckbindung): Die Einwilligung muss für jeden konkreten Verarbeitungszweck separat eingeholt werden. Globale oder unspezifische Einwilligungen sind nach Art. 7 DSGVO unwirksam. Jeder Zweck ist klar und verständlich zu beschreiben: Wofür werden die Daten verwendet? Welche Entscheidungen werden auf Basis dieser Daten getroffen? Wie lange werden die Daten gespeichert? Angabe der Empfänger (Art. 13 Abs. 1 lit. e DSGVO): Die Einwilligung muss alle Empfänger der Daten benennen: interne Abteilungen (Personalverrechnungsstelle, Buchhaltung), externe Dienstleister (Steuerberater, Lohnabrechnungssoftware-Anbieter, OeGK), Konzerngesellschaften, staatliche Stellen (Finanzamt über FinanzOnline). Widerrufshinweis und -mechanismus (Art. 7 Abs. 3 DSGVO): Die Einwilligung muss einen ausdrücklichen Hinweis auf das jederzeitige Widerrufsrecht enthalten, einschliesslich eines konkreten Widerrufsmechanismus. Der Widerruf darf dem Mitarbeiter nicht zum Nachteil gereichen. Nach Widerruf muss die Verarbeitung innerhalb von 1 Monat eingestellt werden.

Verfahrensverzeichnis (Art. 30 DSGVO): Jede Verarbeitungstaetigkeit, für die eine Einwilligung eingeholt wird, muss im Verfahrensverzeichnis des Verantwortlichen erfasst werden. Das Verfahrensverzeichnis muss enthalten: Zweck der Verarbeitung, Kategorien der betroffenen Personen, Kategorien der Empfänger, Speicherdauer, technische und organisatorische Massnahmen (TOMs). Zugang zur DSB-Mustervorlagen: Die österreichische Datenschutzbehörde (DSB) stellt auf dsb.gv.at Mustervorlagen für Datenschutzerklärungen, Einwilligungsformulare und Verfahrensverzeichnisse zur Verfügung. Diese Muster geben Orientierung, sind aber an den konkreten Betrieb anzupassen.

Die Datenschutzeinwilligung für Mitarbeiter in Österreich füllen Sie Schritt für Schritt aus:

Schritt 1: Prüfen ob Einwilligung die richtige Rechtsgrundlage ist. Bevor Sie eine Einwilligungserklärung erstellen, prüfen Sie, ob für die geplante Datenverarbeitung nicht eine andere DSGVO-Rechtsgrundlage besser geeignet ist: Art. 6 Abs. 1 lit. b (Vertragserfüllung — für Gehaltsabrechnung, ASVG-Meldung) oder lit. c (rechtliche Verpflichtung — Steuerrecht, ASVG §§33, 41a). Einwilligungen sollten nur für freiwillige Zusatzdienste verwendet werden, nicht für obligatorische HR-Prozesse.

Schritt 2: Verantwortlichen und DSB-Beauftragten eintragen. Vollständiger Name des Unternehmens (Firmenbuch), Adresse und — sofern vorhanden — den Datenschutzbeauftragten (Art. 37 DSGVO) mit Kontaktdaten. Für Unternehmen mit >250 Mitarbeitern oder mit systematischer Verarbeitung sensibler Daten ist ein DSB-Beauftragter nach Art. 37 Abs. 1 lit. b/c DSGVO zu bestellen.

Schritt 3: Verarbeitungszweck präzise formulieren. Vermeiden Sie vage Formulierungen wie „für interne Zwecke" oder „zur Verwaltung des Dienstverhältnisses". Beschreiben Sie jeden Zweck spezifisch: „Verwendung des Mitarbeiterfotos auf der Unternehmenswebsite www.firma.at unter der Rubrik 'Unser Team'". Je konkreter der Zweck, desto besser ist die Einwilligung rechtssicher.

Schritt 4: Daten und Empfänger auflisten. Liste aller Datenkategorien: Vor- und Nachname, Foto, Funktion, E-Mail. Alle Empfänger: intern (Marketingabteilung), extern (Werbeagentur als Auftragsverarbeiter nach Art. 28 DSGVO). Bei Drittlandübermittlung (USA, Indien): Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO nennen.

Schritt 5: Betroffenenrechte vollständig informieren. Fügen Sie einen vollständigen Abschnitt über Betroffenenrechte nach Art. 13 DSGVO ein — besonders: Recht auf Widerruf der Einwilligung jederzeit ohne Nachteile (Art. 7 Abs. 3 DSGVO); Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (DSB, Wickenburggasse 8, 1080 Wien).

Schritt 6: Freiwilligkeit und Widerrufsmöglichkeit deutlich machen. Fügen Sie eine explizite Bestätigung des Arbeitnehmers ein, dass er die Einwilligung freiwillig erteilt und über das Widerrufsrecht informiert wurde. Dokumentieren Sie den Zeitpunkt der Einholung der Einwilligung (Datum, Uhrzeit) und archivieren Sie das Dokument sicher (DSGVO Art. 7 Abs. 1 — Nachweispflicht des Verantwortlichen).

Schritt 7: Einwilligung archivieren und Widerrufsprozess einrichten. Bewahren Sie die Einwilligung bis 3 Jahre nach dem Ausscheiden des Mitarbeiters auf (Verjährung nach §1489 ABGB). Richten Sie einen einfachen Widerrufsprozess ein (E-Mail an [email protected]), den der Mitarbeiter jederzeit nutzen kann.

Schritt 6: Widerrufsprotokoll einrichten. Richten Sie ein internes Register ein, das alle erteilten und widerrufenen Einwilligungen erfasst. Das Verzeichnis der Verarbeitungstätigkeiten (VVT nach Art. 30 DSGVO) muss alle Einwilligungen mit Datum, Inhalt und Status (aktiv/widerrufen) enthalten. Bei Betrieben mit über 250 Mitarbeitern ist das VVT gesetzlich verpflichtend. Schritt 7: Datenschutzfolgenabschätzung (DSFA) prüfen. Bei Verarbeitung von Gesundheitsdaten, biometrischen Daten oder GPS-Tracking-Daten ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen, bevor die Verarbeitung beginnt. Das Ergebnis ist schriftlich zu dokumentieren und mindestens 3 Jahre aufzubewahren.

Die Datenschutzeinwilligung für Mitarbeiter in Österreich unterliegt folgenden zwingenden Rechtsvorschriften:

DSGVO Art. 4 Z 11 — Definition der Einwilligung: Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Im Beschäftigungskontext zweifelt der EDSA (Europäischer Datenschutzausschuss, Leitlinie 05/2020) systematisch an der Freiwilligkeit. Eine Einwilligung gilt als unwirksam, wenn der Arbeitnehmer bei Verweigerung Nachteile befürchten muss.

DSGVO Art. 7 — Bedingungen für die Einwilligung: Der Verantwortliche muss nachweisen können, dass die Einwilligung erteilt wurde (Dokumentationspflicht, Art. 7 Abs. 1); die Einwilligung muss von anderen Sachverhalten klar abgetrennt sein (Art. 7 Abs. 2 — Koppelungsverbot); der Betroffene muss über das Widerrufsrecht informiert werden (Art. 7 Abs. 3); Koppelungsverbot nach Art. 7 Abs. 4 — Dienstleistungserbringung darf nicht von einer nicht erforderlichen Einwilligung abhängig gemacht werden.

DSGVO Art. 9 — Besondere Datenkategorien: Für die Verarbeitung von Gesundheitsdaten, biometrischen Daten (Fingerabdruck, Irisscan), Daten zur Gewerkschaftszugehörigkeit oder über strafrechtliche Verurteilungen bedarf es einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. DSG §4 Abs. 2 schreibt für solche Einwilligungen die Schriftform vor.

DSG §4 — Österreichische Spezialregelung: Das österreichische Datenschutzgesetz (DSG) ergänzt die DSGVO durch besondere Regelungen für sensible Daten. §4 Abs. 2 DSG verlangt für die Verarbeitung von Art.-9-DSGVO-Daten eine ausdrückliche, schriftliche Einwilligung mit klar beschriebenem Verwendungszweck.

Art. 13 DSGVO — Informationspflichten: Bei jeder Einwilligung müssen dem Mitarbeiter alle Informationen nach Art. 13 DSGVO bereitgestellt werden (Identity des Verantwortlichen, DSB-Beauftragter, Zweck, Rechtsgrundlage, Empfänger, Drittlandübermittlung, Speicherdauer, Betroffenenrechte, Beschwerderecht bei DSB). Fehlende Informationen machen die Einwilligung nach DSB-Praxis unwirksam.

Art. 83 DSGVO — Sanktionen: Verstöße gegen die Einwilligungsvorschriften (Art. 83 Abs. 5 DSGVO) können mit Geldstrafen bis zu €20.000.000 oder 4 % des weltweiten Jahresumsatzes (je höherer Betrag) geahndet werden. Österreichische DSB-Strafpraxis: Bußgelder von €500 bis €50.000 im Beschäftigungskontext (DSB-Bescheide 2023/2024).

DSG SS 8 - Verarbeitung besonderer Datenkategorien: Das österreichische Datenschutzgesetz (DSG, BGBl I Nr. 165/1999) in SS 7-10 enthält ergänzende Regelungen für besondere Datenkategorien. DSB-Bussgeldpraxis in Österreich 2024-2025: Die österreichische DSB hat in den Jahren 2024-2025 mehrere Bussgelder gegen österreichische Arbeitgeber verhängt, die Arbeitnehmereinwilligungen als alleinige Rechtsgrundlage für die Videoüberwachung oder GPS-Tracking verwendeten, ohne eine Betriebsvereinbarung (SS 96 Abs. 1 Z 3 ArbVG) abzuschliessen. Bussgelder von 10.000 bis 50.000 Euro wurden in diesen Fällen verhängt. Datenschutzbeauftragter (DSB): Unternehmen, die regelmässig besondere Datenkategorien ihrer Mitarbeiter verarbeiten (z.B. Gesundheitsdaten, biometrische Daten), sind nach Art. 37 Abs. 1 lit. c DSGVO verpflichtet, einen Datenschutzbeauftragten zu benennen. Der Datenschutzbeauftragte muss bei der DSB gemeldet werden (SS 5 DSG).

Bei der Einholung von Datenschutzeinwilligungen von Mitarbeitern in Österreich werden folgende häufige Fehler gemacht:

Einwilligung statt richtiger Rechtsgrundlage: Der häufigste Fehler ist, Einwilligungen für Datenverarbeitungen einzuholen, die auf Art. 6 Abs. 1 lit. b oder c DSGVO gestützt werden könnten (z.B. Gehaltsabrechnung, ASVG-Anmeldung, Lohnzettel nach §78 EStG). Eine Einwilligung ist hier nicht nur unnötig, sondern sogar kontraproduktiv — bei Widerruf der Einwilligung müsste die gesamte Verarbeitung gestoppt werden. Nutzen Sie die richtige Rechtsgrundlage von Anfang an.

Zwang zur Einwilligung: Wenn ein Arbeitgeber die Einwilligung als Bedingung für den Arbeitsvertrag stellt oder bei Verweigerung Nachteile androht, ist die Einwilligung wegen fehlender Freiwilligkeit nach DSGVO Art. 7 Abs. 4 unwirksam. Die DSB (Datenschutzbehörde, dsb.gv.at) und der OGH (OGH 6 Ob 56/20p) haben solche erzwungenen Einwilligungen als nichtig qualifiziert. Einwilligungen müssen ohne jeden Druck eingeholt werden.

Kein Widerrufsmechanismus eingerichtet: Die Einwilligung ist jederzeit widerrufbar (Art. 7 Abs. 3 DSGVO). Wenn der Arbeitgeber keinen einfachen, zugänglichen Widerrufsmechanismus bereitstellt (z.B. E-Mail an datenschutz@), verletzt er die DSGVO. Zudem muss der Widerruf dieselbe Wirkung haben wie die Nicht-Erteilung — verarbeitete Daten sind nach Widerruf zu löschen.

Sammlung zu vieler Einwilligungen in einem Formular: Das Koppelungsverbot (Art. 7 Abs. 4 DSGVO) verbietet es, mehrere verschiedene Einwilligungen in einer einzigen Erklärung zusammenzufassen, wenn die einzelnen Einwilligungen eigentlich getrennt sind. Separate Zwecke müssen separate Einwilligungen haben — der Mitarbeiter muss die Möglichkeit haben, einzelnen Verarbeitungen zuzustimmen und andere abzulehnen.

Fehlende Dokumentation: Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die Einwilligung erteilt wurde. Eine mündliche Einwilligung ohne Dokumentation ist nicht nachweisbar. Archivieren Sie alle Einwilligungserklärungen mit Datum und Unterschrift in der Personalakte — Aufbewahrungsfrist: 3 Jahre nach Ausscheiden des Mitarbeiters (§1489 ABGB — Verjährungsfrist für Schadenersatzansprüche aus DSGVO-Verletzungen).

Einwilligungen nicht dokumentiert: Mündliche oder per E-Mail-Checkbox erteilte Einwilligungen (ohne nachvollziehbare Dokumentation) können die Beweisanforderungen des Art. 7 DSGVO nicht erfüllen. Die DSB verlangt im Streitfall den schriftlichen Nachweis. Falsche Aufbewahrungsfristen: Einwilligungen von Mitarbeitern müssen nach Beendigung des Dienstverhältnisses noch für die gesetzliche Verjaerungs-frist aufbewahrt werden (3 Jahre nach SS 1486 ABGB; 7 Jahre nach SS 132 BAO für steuerlich relevante Unterlagen). Einwilligung als einzige Rechtsgrundlage: Viele Arbeitgeber stützen sich bei der Mitarbeiterdatenverarbeitung ausschliesslich auf Einwilligungen, obwohl Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c (rechtliche Verpflichtung) in vielen Fällen die geeignetere Rechtsgrundlage sind. Einwilligungen können jederzeit widerrufen werden - was die gesamte Datenverarbeitung in Frage stellt.