DSGVO Einwilligungserklärung Österreich

Die DSGVO Einwilligungserklärung in Österreich ist eine schriftliche oder elektronisch dokumentierte Willenserklärung, durch die eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere konkret bezeichnete Zwecke freiwillig zustimmt. Rechtsgrundlage ist Art. 7 der Datenschutz-Grundverordnung (DSGVO, EU 2016/679) in Verbindung mit §4 des österreichischen Datenschutzgesetzes (DSG, BGBl I Nr. 165/1999 in der Fassung des Datenschutz-Anpassungsgesetzes 2018). Die Datenschutzbehörde (DSB) als zuständige Aufsichtsbehörde nach Art. 51 DSGVO und §18 DSG überwacht die ordnungsgemäße Einholung und Dokumentation von Einwilligungen in Österreich.

Die Einwilligung ist nach Art. 4 Z 11 DSGVO definiert als jede freiwillig für einen bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. Österreichische Unternehmen, Vereine und öffentliche Stellen müssen bei jeder Datenverarbeitung, die sich auf Einwilligung als Rechtsgrundlage (Art. 6 Abs. 1 lit. a DSGVO) stützt, sicherstellen, dass alle vier Kernelemente erfüllt sind: Freiwilligkeit, Informiertheit, Spezifität und Unmissverständlichkeit. Der Oberste Gerichtshof (OGH) hat in 6 Ob 211/22h klargestellt, dass vorformulierte Einwilligungsklauseln in Allgemeinen Geschäftsbedingungen (AGB) nur dann wirksam sind, wenn sie den Anforderungen des Art. 7 DSGVO vollständig genügen.

Besondere Anforderungen gelten für sensible Datenkategorien nach Art. 9 DSGVO: Gesundheitsdaten, biometrische Daten, genetische Daten, Daten zur ethnischen Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen sowie Daten zur sexuellen Orientierung. Für diese Kategorien gilt nach Art. 9 Abs. 2 lit. a DSGVO ausschließlich die ausdrückliche Einwilligung als Rechtsgrundlage, sofern keine der anderen eng definierten Ausnahmen greift. In der österreichischen Gesundheitsversorgung — etwa bei Krankenanstalten nach §§8 ff. Krankenanstalten- und Kuranstaltengesetz (KAKuG) — ist die schriftliche Einwilligung zur Datenverarbeitung von besonderer praktischer Relevanz.

Die DSGVO Einwilligungserklärung unterscheidet sich grundlegend von anderen Rechtsgrundlagen der Datenverarbeitung: Bei der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) ist keine Einwilligung erforderlich; bei berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) findet eine Interessenabwägung statt. Die Einwilligung ist die stärkste, aber auch anspruchsvollste Rechtsgrundlage, weil sie jederzeit widerrufbar ist (Art. 7 Abs. 3 DSGVO) und der Verantwortliche die Beweislast für das Vorliegen einer wirksamen Einwilligung trägt.

In Österreich ist die Datenschutzbehörde (DSB, Barichgasse 40-42, 1030 Wien) für die Durchsetzung der DSGVO zuständig. Die DSB kann bei Verstößen gegen die Einwilligungspflichten Geldbußen nach Art. 83 DSGVO von bis zu €20.000.000 oder 4 % des weltweiten Jahresumsatzes verhängen — je nachdem, welcher Betrag höher ist. Im Jahr 2023 verhängte die DSB mehrere signifikante Bußgelder gegen österreichische Unternehmen, die Einwilligungen ohne ausreichende Dokumentation oder ohne klare Zweckbindung eingeholt hatten. forms-legal.com stellt eine rechtskonform strukturierte Einwilligungsvorlage zur Verfügung, die alle Anforderungen von Art. 7 DSGVO und DSG §4 erfüllt.

Eine DSGVO Einwilligungserklärung in Österreich ist immer dann erforderlich, wenn personenbezogene Daten verarbeitet werden sollen und keine andere Rechtsgrundlage nach Art. 6 DSGVO greift — insbesondere wenn die Verarbeitung nicht zur Vertragserfüllung notwendig ist, keine gesetzliche Verpflichtung besteht und kein überwiegendes berechtigtes Interesse vorliegt.

Bei der Erhebung von Kundendaten für Marketingzwecke — etwa Newsletter-Abonnements, Direktwerbung per E-Mail oder SMS oder personalisierte Online-Werbung — ist eine ausdrückliche Einwilligung nach Art. 7 DSGVO i.V.m. §174 Telekommunikationsgesetz 2021 (TKG 2021) zwingend erforderlich. Das Österreichische E-Commerce-Gesetz (ECG, BGBl I Nr. 152/2001) und der Rundfunk und Telekom Regulierungs-GmbH (RTR) überwachen die Einhaltung dieser Pflichten im digitalen Raum.

Für die Verarbeitung von Mitarbeiterdaten, die über den arbeitsvertraglichen Rahmen hinausgehen — z.B. Bilder für den Firmenwebsite, GPS-Tracking von Dienstfahrzeugen oder biometrische Zeiterfassung — ist eine Einwilligung erforderlich, sofern keine Betriebsvereinbarung nach §96 Abs. 1 Z 3 Arbeitsverfassungsgesetz (ArbVG, BGBl Nr. 22/1974) als Rechtsgrundlage dient. Der Österreichische Gewerkschaftsbund (ÖGB) und die Arbeiterkammer (AK) haben klare Leitlinien zur Einwilligung im Beschäftigungskontext veröffentlicht.

Vereine nach Vereinsgesetz (VerG, BGBl I Nr. 66/2002) benötigen Einwilligungen ihrer Mitglieder, wenn Mitgliederdaten für Zwecke verarbeitet werden, die über die vereinsrechtliche Notwendigkeit hinausgehen — etwa für die Veröffentlichung von Fotos aus Vereinsveranstaltungen auf Social-Media-Plattformen oder für die Weitergabe an Sponsoren.

Krankenanstalten, Arztpraxen und Apotheken nach §§8 ff. KAKuG müssen Patienteneinwilligungen für die Weitergabe von Gesundheitsdaten an Dritte (Versicherungen, Forschungseinrichtungen, andere Leistungserbringer) dokumentieren. Die Österreichische Gesundheitskasse (ÖGK) und die Pensionsversicherungsanstalt (PVA) haben eigene Einwilligungsformulare für die Datennutzung im Rahmen des elektronischen Gesundheitsakts (ELGA nach ELGA-Gesetz BGBl I Nr. 111/2012) entwickelt.

Online-Shops und Plattformen, die Cookies oder ähnliche Technologien zur Nutzerverfolgung einsetzen, benötigen eine informierte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und §165 TKG 2021. Die DSB hat in mehreren Bescheiden klargestellt, dass Cookie-Banner ohne echte Ablehnungsmöglichkeit keine wirksame Einwilligung darstellen.

Fur Forschungseinrichtungen und klinische Studien nach dem Arzneimittelgesetz (AMG, BGBl Nr. 185/1983) und dem Medizinproduktegesetz (MPG) ist die schriftliche Einwilligung nach DSGVO Art. 9 Abs. 2 lit. a eine zwingend vorgeschriebene Voraussetzung für die Teilnahme von Probanden. Medizinische Universitäten und Krankenanstalten der österreichischen Bundesländer benötigen für jede Verarbeitung von Gesundheitsdaten von Patienten zu Forschungszwecken eine klare Einwilligung, die über die behandlungsnotwendige Verarbeitung hinausgeht. Die Ethikkommissionen der Medizinischen Universität Wien, Graz und Innsbruck verlangen standardisierte Einwilligungsformulare.

Eine rechtswirksame DSGVO Einwilligungserklärung in Österreich muss nach Art. 7 DSGVO, ErwGr. 32, 42, 43 DSGVO sowie der Leitlinie 05/2020 des Europäischen Datenschutzausschusses (EDSA) folgende Kernelemente enthalten. forms-legal.com bietet eine strukturierte Mustervorlage, die alle diese Anforderungen der Datenschutzbehörde (DSB) erfüllt.

Identifikation des Verantwortlichen: Name und vollständige Kontaktdaten des Datenverantwortlichen (DSGVO Art. 13 Abs. 1 lit. a) — bei juristischen Personen Firmenbuchnummer, Firmensitz und UID-Nummer. Ist ein Datenschutzbeauftragter (DSB) nach Art. 37 DSGVO bestellt, sind dessen Kontaktdaten anzugeben. In Österreich sind Unternehmen mit mehr als 250 Mitarbeitern oder mit umfangreicher Datenverarbeitung zur Bestellung eines Datenschutzbeauftragten verpflichtet.

Zweckbeschreibung (Spezifität): Jeder Verarbeitungszweck muss konkret und verständlich beschrieben werden. Formulierungen wie 'zu Marketingzwecken' ohne weitere Präzisierung genügen nicht. Nach Art. 5 Abs. 1 lit. b DSGVO gilt der Grundsatz der Zweckbindung: Daten dürfen nur für die in der Einwilligung genannten Zwecke verwendet werden. Soll die Einwilligung für mehrere Zwecke gelten, muss jeder Zweck gesondert angehakt werden können (Granularität).

Datenarten (Datenkategorien): Klare Auflistung aller personenbezogenen Daten, für die die Einwilligung erteilt wird — Name, Adresse, E-Mail, Telefon, IP-Adresse, Standortdaten, Gesundheitsdaten (Art. 9 DSGVO — besondere Schutzwürdigkeit), biometrische Daten, Bonitätsdaten. Bei besonderen Datenkategorien nach Art. 9 ist die Einwilligung als 'ausdrücklich' zu kennzeichnen.

Empfänger und Übermittlung: Angabe aller Empfänger oder Empfängerkategorien (Art. 13 Abs. 1 lit. e DSGVO). Bei Datenübermittlung in Drittstaaten außerhalb der EU/des EWR muss auf die Sicherheitsgarantien (Angemessenheitsbeschluss, Standardvertragsklauseln nach Art. 46 DSGVO) hingewiesen werden. Seit dem EuGH-Urteil Schrems II (C-311/18, 2020) ist die Übermittlung in die USA ohne geeignete Garantien rechtswidrig.

Freiwilligkeit und Kopplungsverbot: Die Einwilligung muss freiwillig sein — Art. 7 Abs. 4 DSGVO verbietet die Kopplung der Einwilligung an die Erfüllung eines Vertrags, wenn die Datenverarbeitung für die Vertragserfüllung nicht erforderlich ist (Kopplungsverbot). In Österreich hat die DSB in Bescheid DSB-D550.834/0001-DSB/2023 explizit festgestellt, dass 'Take-it-or-leave-it'-Einwilligungen im B2C-Bereich dem Freiwilligkeitsgrundsatz widersprechen.

Widerrufsrecht und -modalitäten: Art. 7 Abs. 3 DSGVO garantiert das jederzeitige, kostenlose und formlose Widerrufsrecht. Die Einwilligungserklärung muss klar angeben, wie der Widerruf ausgeübt werden kann — z.B. per E-Mail, Brief oder Formular auf der Website. Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung. Die Rechtsfolgen des Widerrufs (keine rückwirkende Wirkung; bisherige Verarbeitung bleibt rechtmäßig) sind zu erläutern.

Datenschutzerklärung-Verweis: Die Einwilligungserklärung sollte auf die vollständige Datenschutzerklärung (Privacy Notice) verweisen, die alle nach Art. 13–14 DSGVO erforderlichen Informationen enthält — Speicherdauer, Betroffenenrechte (Auskunft Art. 15, Berichtigung Art. 16, Löschung Art. 17, Einschränkung Art. 18, Datenübertragbarkeit Art. 20, Widerspruch Art. 21), Beschwerderecht bei der Datenschutzbehörde (DSB).

Datum und Unterschrift: Datum der Einwilligung, Ort und eigenhändige Unterschrift der betroffenen Person (oder bei Minderjährigen unter 14 Jahren nach §4 Abs. 4 DSG: Unterschrift des gesetzlichen Vertreters). Elektronische Einwilligungen müssen nach ErwGr. 32 DSGVO durch eine eindeutige bestätigende Handlung dokumentiert werden — Opt-in-Checkbox, nicht vorausgefülltes Feld.

Die DSGVO Einwilligungserklärung für Österreich befüllen Sie in folgenden Schritten entsprechend Art. 7 DSGVO und der DSB-Praxis.

Schritt 1: Verantwortlichen eintragen. Geben Sie den vollständigen Namen Ihres Unternehmens oder Ihrer Organisation, die Rechtsform (z.B. GmbH, AG, e.U., Verein), die Firmenbuchnummer (bei Unternehmen), die Adresse und die Kontaktdaten des Datenschutzbeauftragten (falls vorhanden) ein. Dies entspricht Art. 13 Abs. 1 lit. a und b DSGVO.

Schritt 2: Verarbeitungszweck(e) konkret benennen. Beschreiben Sie jeden Zweck präzise — z.B. 'Versand eines monatlichen Newsletters über unsere Produkte und Angebote' statt 'Marketingzwecke'. Für mehrere Zwecke verwenden Sie separate Checkboxen, damit die betroffene Person selektiv einwilligen kann (Granularitätsgrundsatz).

Schritt 3: Datenkategorien auflisten. Spezifizieren Sie, welche personenbezogenen Daten verarbeitet werden: z.B. 'Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum'. Bei besonderen Datenkategorien (Art. 9 DSGVO) — etwa Gesundheitsdaten — kennzeichnen Sie diese ausdrücklich und erläutern die besondere Schutzwürdigkeit.

Schritt 4: Empfänger und Drittlandübermittlungen angeben. Listen Sie alle Empfänger oder Empfängerkategorien auf — z.B. 'Dienstleister für E-Mail-Marketing (Mailchimp, USA — Standardvertragsklauseln nach Art. 46 DSGVO)'. Bei Drittlandübermittlungen geben Sie die angewandte Schutzmaßnahme an.

Schritt 5: Widerrufsmodalitäten erläutern. Erklären Sie klar, wie die betroffene Person die Einwilligung widerrufen kann — z.B. 'Sie können Ihre Einwilligung jederzeit durch Klick auf den Abmelde-Link im Newsletter oder per E-Mail an [email protected] widerrufen.' Weisen Sie auf die Nichtrückwirkung des Widerrufs hin.

Schritt 6: Auf Datenschutzerklärung verweisen. Fügen Sie einen klaren Verweis auf Ihre vollständige Datenschutzerklärung mit URL oder Seitenangabe ein, damit die betroffene Person alle nach Art. 13–14 DSGVO erforderlichen Informationen abrufen kann.

Schritt 7: Unterschrift einholen. Lassen Sie die betroffene Person Datum, Ort und Unterschrift eigenhändig eintragen. Bei elektronischer Einwilligung: Verwenden Sie eine unvorausgefüllte Opt-in-Checkbox, dokumentieren Sie Zeitstempel und IP-Adresse. Bewahren Sie die Einwilligung für die Dauer der Datenverarbeitung und darüber hinaus für mindestens 3 Jahre auf (Verjährung von Schadenersatzansprüchen nach ABGB §1489).

Schritt 8: Sonderfall Minderjahrige. Für Personen unter 14 Jahren nach DSG §4 Abs. 4 ist die Einwilligung des gesetzlichen Vertreters (Obsorgeberechtigter nach ABGB §158 ff.) erforderlich. Tragen Sie in diesem Fall den Namen und die Kontaktdaten des gesetzlichen Vertreters ein. Prüfen Sie, ob der Minderjahrige die notige Einsichtsfahigkeit besitzt, um die Einwilligung zu verstehen. Die Datenschutzbehörde (DSB) empfiehlt, bei Unsicherheit über das Alter der betroffenen Person stets die Einwilligung des gesetzlichen Vertreters einzuholen. Dokumentieren Sie die Altersverifikation und die Identitat des gesetzlichen Vertreters sorgfaltig. Bei elektronischen Einwilligungen: Verwenden Sie eine separate Altersverifikations-Checkbox und speichern Sie die Bestatigung mit Zeitstempel.

Die rechtlichen Anforderungen an die DSGVO Einwilligungserklärung in Österreich ergeben sich aus mehreren Rechtsquellen, die zusammen ein kohärentes Datenschutzregime bilden.

Grundlegende DSGVO-Anforderungen: Art. 4 Z 11 DSGVO definiert die Einwilligung; Art. 6 Abs. 1 lit. a DSGVO ist die Rechtsgrundlage für die Verarbeitung; Art. 7 DSGVO regelt die Bedingungen der Einwilligung; Art. 9 Abs. 2 lit. a DSGVO ist die Grundlage für sensible Datenkategorien. ErwGr. 32 präzisiert die 'eindeutige bestätigende Handlung'; ErwGr. 42–43 erläutern Freiwilligkeit und Machtungleichgewicht.

Österreichisches DSG: §4 DSG setzt Art. 6 DSGVO in österreichisches Recht um und enthält spezifische Regelungen für Einwilligungen im Beschäftigungskontext; §4 Abs. 4 DSG legt das Mindestalter für die eigenständige Einwilligung bei 14 Jahren fest (Altersgrenze nach Art. 8 Abs. 1 DSGVO, die Österreich auf 14 Jahre abgesenkt hat).

Sanktionen: Die Datenschutzbehörde (DSB) kann bei fehlender oder unwirksamer Einwilligung Geldbußen nach Art. 83 Abs. 4 und 5 DSGVO verhängen: bis zu €10.000.000 oder 2 % des Jahresumsatzes für weniger schwere Verstöße; bis zu €20.000.000 oder 4 % für schwere Verstöße. Zusätzlich können Betroffene vor Österreichischen Gerichten (Bezirksgericht für Ansprüche bis €15.000, Landesgericht für höhere Beträge) Schadenersatz nach Art. 82 DSGVO geltend machen.

Dokumentationspflicht: Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verpflichtet den Verantwortlichen zu nachweisen, dass Einwilligungen den Anforderungen entsprechen. Empfohlen wird die Führung eines Einwilligungsregisters mit Zeitstempel, Version des Einwilligungstexts und Widerrufsdatum. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO muss die Einwilligungen als Rechtsgrundlage dokumentieren.

Spezialregelungen TKG 2021: §174 TKG 2021 regelt die elektronische Kommunikation; unerbetene Werbung per E-Mail, SMS oder Telefon ohne vorherige ausdrückliche Einwilligung ist verboten und kann von der RTR-GmbH mit Verwaltungsstrafen bis €37.000 geahndet werden.

Europarechtliche Einbettung: Die DSGVO gilt als EU-Verordnung unmittelbar in allen EU-Mitgliedstaaten, einschliesslich Österreich, ohne nationaler Umsetzung. Der Europäische Datenschutzausschuss (EDSA) veröffentlicht verbindliche Leitlinien (Guidelines) zur Auslegung der DSGVO, die auch für die österreichische Datenschutzbehörde (DSB) massgeblich sind. Leitlinie 05/2020 des EDSA zur Einwilligung konkretisiert die Anforderungen an Freiwilligkeit, Spezifitat, Informiertheit und Unmissverständlichkeit. Der Europäische Gerichtshof (EuGH) hat in C-61/19 (Orange Romania) die strengen Anforderungen an die Freiwilligkeit der Einwilligung bestätigt und in C-673/17 (Planet49) Cookie-Einwilligungen ohne aktive Handlung als DSGVO-widrig eingestuft.

Bei der Einholung von DSGVO-Einwilligungen in Österreich unterlaufen Unternehmen und Organisationen häufig Fehler, die zur Unwirksamkeit der Einwilligung führen und Bußgeldrisiken erzeugen.

Vorausgefüllte Checkboxen: Das Vorankreuzen von Einwilligungs-Checkboxen verstößt gegen Art. 4 Z 11 DSGVO, der eine aktive Handlung verlangt. Der Europäische Datenschutzausschuss (EDSA) und die DSB haben klargestellt, dass vorausgefüllte Felder keine wirksame Einwilligung begründen. Richtig: Verwenden Sie immer leere Checkboxen, die aktiv angehakt werden müssen.

Unklare oder zu weit gefasste Zweckbeschreibungen: Formulierungen wie 'für interne Zwecke', 'zur Verbesserung unserer Dienstleistungen' oder 'für Marketingzwecke' ohne Präzisierung verstoßen gegen den Spezifitätsgrundsatz. Die DSB hat in mehreren Bescheiden unklare Zweckbeschreibungen als DSGVO-widrig eingestuft. Richtig: Jeder Zweck muss klar und verständlich beschrieben werden.

Kopplungsverbot verletzt: Die Kopplung der Einwilligung an den Vertragsabschluss — z.B. 'Durch Registrierung willigen Sie in die Verwendung Ihrer Daten für Werbezwecke ein' — ist nach Art. 7 Abs. 4 DSGVO unzulässig, wenn die Datenverarbeitung für die Vertragserfüllung nicht erforderlich ist. Richtig: Trennen Sie Vertragserfüllungsdaten von einwilligungsbasierten Verarbeitungen.

Fehlender Hinweis auf das Widerrufsrecht: Art. 7 Abs. 3 Satz 3 DSGVO verpflichtet ausdrücklich zur Information über das Widerrufsrecht vor Erteilung der Einwilligung. Fehlt dieser Hinweis, ist die Einwilligung unwirksam. Richtig: Weisen Sie klar und prominent auf das jederzeitige, kostenlose Widerrufsrecht hin.

Fehlende Dokumentation bei elektronischen Einwilligungen: Unternehmen, die Online-Einwilligungen einholen, ohne Zeitstempel, Version des Einwilligungstexts und technische Identifizierungsmerkmale zu speichern, können ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nicht erfüllen. Richtig: Implementieren Sie ein Consent-Management-System mit vollständiger Protokollierung.

Fehlende Aktualisierung bei Zweckandderung: Ändert sich der Verarbeitungszweck, benötigt der Verantwortliche eine neue Einwilligung für den neuen Zweck. Viele Unternehmen versuchen, eine einmal erteilte Einwilligung auf neue Zwecke auszudehnen - dies verstösst gegen Art. 5 Abs. 1 lit. b DSGVO (Zweckbindung). Richtig: Bei jeder Zweckandderung neue Einwilligung einholen.