Einwilligung widerrufen: Vorgaben der DSGVO

Betroffene können eine erteilte Einwilligung widerrufen. Die DSGVO räumt ihnen dieses Recht jederzeit und ohne Begründung ein. Der Beitrag erläutert die Anforderungen an die Einwilligung, die Vorgaben des Art. 7 Abs. 3 DSGVO sowie die datenschutzrechtlichen und vertragsrechtlichen Folgen. Er zeigt zudem, wie Verantwortliche mit einem Widerruf im Datenschutz umgehen sollten.

Welche Anforderungen stellt die DSGVO an die Einwilligung?

Um die Anforderungen an die Einwilligung als Rechtsgrundlage nachvollziehen und anwenden zu können, muss zunächst der Begriff bestimmt werden. Eine Legaldefinition ist in Art. 4 Nr. 11 DSGVO enthalten:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck: ‚Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“

Anhand dieser Definition gehen die Anforderungen hervor. Hierbei geht es nicht ausschließlich um die abgegebene Willensbekundung der Betroffenen, sondern auch um die Rahmenbedingungen:

• Unter die Rechenschaftspflicht des Verantwortlichen fällt auch der Nachweis über eine erteilte Einwilligung von Betroffenen, vgl. Art. 7 Abs. 1 DSGVO.
• Erheblich für die Wirksamkeit einer Einwilligungserklärung ist, dass das Ersuchen hierfür in verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache erfolgt, vgl. Art. 7 Abs. 2 S. 1 DSGVO.
• Hierunter fällt auch die eindeutige Zweckbestimmung, damit Betroffene explizit der Verwendung ihrer personenbezogenen Daten für einen bestimmten und transparenten Zweck einwilligen.
• Zudem ist entscheidend, dass die Einwilligung freiwillig erteilt wird. Insofern sich Umstände für einen Zwang ergeben, gilt die Einwilligung als unwirksam.
• Schließlich sind Betroffene vor Abgabe ihrer Einwilligung über ihr Recht auf Widerruf in Kenntnis zu setzen, vgl. Art. 7 Abs. 3 DSGVO.

Warum dürfen Betroffene ihre Einwilligung widerrufen?

Der betroffenen Person steht ein Recht auf Widerruf ihrer erteilten Einwilligung zu. Da die Datenverarbeitung in solchen Fällen nur unter ihrem Einverständnis erfolgt, gewährt das Widerrufsrecht den Betroffenen auch einen nachträglichen Entscheidungsspielraum, das Einverständnis wieder zurückzuziehen. Anhand dieses Rechts bleibt die „Herrschaft“ und „Entscheidungsmacht“ über die eigenen Daten bei den Betroffenen.

Mit dem Widerrufsrecht wird sichergestellt, dass die betroffene Person in Ausübung ihres informationellen Selbstbestimmungsrechtes jederzeit in der Lage ist, eine einmal getroffene Entscheidung wieder rückgängig zu machen. Dem Widerrufsrecht wird insbesondere im Zeitalter von Big Data oder der Künstlichen Intelligenz eine große Bedeutung zugeschrieben. Die Verarbeitungsvorgänge sind inzwischen so komplex und so weit über verschiedene Akteure verteilt, dass Betroffene kaum noch nachvollziehen können, wer ihre Daten zu welchem Zweck verarbeitet.

Die Möglichkeiten einer Datennutzung und Auswertung steigen stetig, sodass für natürliche Personen berechtigterweise die Möglichkeit gegeben sein muss, eine einmal erteilte Einwilligung, etwa bei neuen Erkenntnissen in Bezug auf die Datenverarbeitung, jederzeit zu widerrufen.

Welche Vorgaben gelten, wenn Betroffene die Einwilligung widerrufen?

Die Schlüsselnorm für den Widerruf der Einwilligung ist Art. 7 Abs. 3 DSGVO. Vor Abgabe der Einwilligung sind Betroffene über ihr Widerrufsrecht zu informieren. Grundsätzlich muss der Widerruf so einfach erfolgen, wie die Einwilligung eingeholt wurde, d. h. er kann gem. Art. 7 Abs. 3 S. 4 DSGVO formlos und ohne Begründung erfolgen.

Es gibt unterschiedliche Wege, wie eine Einwilligung abgegeben werden kann. Auf dieselbe einfache Art und Weise, wie die Einwilligung erteilt wurde, sollte sie im besten Fall auch zu widerrufen sein. Angenommen, die Einwilligung wurde nur mit einem Klick erteilt, so sollte diese auch mit einem Klick widerrufbar sein und nicht beispielsweise schriftlich oder telefonisch innerhalb der Geschäftszeiten. In solchen Fällen ist keine einfache Widerrufsmöglichkeit gegeben, sondern nur ein Weg über Umwege und eine arbeitsaufwendige, unangemessene Anstrengung. Somit ist die Möglichkeit eines Widerrufs nicht an bestimmte Voraussetzungen geknüpft und steht Betroffenen jederzeit zu.

Eine weitere Vorgabe ist, dass sich für Betroffene keine Nachteile ergeben dürfen. Der Widerruf steht gebührenfrei und ohne Absenkung des Leistungsniveaus zur Verfügung. Ein Preisnachlass, der bei der Einwilligung für den Newsletter gewährt wird, darf nach dem Widerruf also nicht zurückgenommen werden. Mit dem Widerruf tritt die ex-nunc-Wirkung ein, sodass der Widerruf von „nun“ an gilt und die Rechtmäßigkeit der Datenverarbeitung vor dem Widerruf nicht berührt. Somit unterbindet der Widerruf nur die gegenwärtige und zukünftige Datenverarbeitung.

Wie einfach muss der Widerruf der Einwilligung technisch möglich sein?

Was „so einfach wie die Erteilung“ in der Praxis bedeutet, hat sich vor allem im Online-Bereich konkretisiert. Für den Zugriff auf Endeinrichtungen, etwa durch Cookies oder vergleichbare Technologien, verlangt § 25 TDDDG eine Einwilligung und verweist für deren Anforderungen auf die DSGVO. Die praktische Folge ist eindeutig. Wer eine Einwilligung über ein Consent-Banner mit einem Klick einholt, muss den Widerruf mit vergleichbar geringem Aufwand ermöglichen. Aufsichtsbehörden erwarten dafür eine dauerhaft erreichbare Widerrufsmöglichkeit, beispielsweise über ein wieder aufrufbares Banner-Symbol, einen Link in der Datenschutzerklärung oder im Footer der Webseite.

Entscheidend ist dabei nicht die theoretische Möglichkeit, sondern der tatsächliche Aufwand für Betroffene. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien zu irreführenden Gestaltungsmustern deutlich gemacht, dass Designs unzulässig sind, die den Widerruf erschweren, etwa versteckte Schaltflächen, mehrstufige Untermenüs oder eine optisch deutlich schwächer gestaltete Ablehnungsoption. Eine Einwilligung, die mit einem Klick erteilt, aber nur über mehrere Ebenen zurückgenommen werden kann, erfüllt die Vorgaben des Art. 7 Abs. 3 DSGVO nicht.

Welche Folgen hat eine fehlende Belehrung über die Widerrufsmöglichkeit?

Nun stellt sich die Frage, ob eine fehlende Widerrufsbelehrung zu einer ex-tunc-Wirkung führen kann, das heißt die Einwilligung von Beginn an als unwirksam gilt. Tatsächlich sind die rechtlichen Folgen hierzu unklar und diesbezüglich werden unterschiedliche Auffassungen vertreten. Nach der einen Auffassung führt eine fehlende Widerrufsbelehrung zu einer Unwirksamkeit. Hierbei wird insbesondere die freiwillige Erteilung angezweifelt, da vor Abgabe der Einwilligung darüber nicht in Kenntnis gesetzt wurde. Direkt hieran anknüpfend droht bei einem Verstoß gegen Art. 7 DSGVO eine Geldbuße bis 20 Mio. EUR oder 4 % des gesamten weltweit erzielten Jahresumsatzes des Unternehmens, vgl. Art. 83 Abs. 5 lit. a DSGVO. Ein weiterer Anhaltspunkt ist, dass für eine faire und transparente Verarbeitung die Widerrufsbelehrung nach Art. 13 Abs. 2 lit. c DSGVO zu den Informationspflichten des Verantwortlichen gehört.

Nach der herrschenden Meinung stellt eine fehlende Widerrufsbelehrung zwar einen Verstoß gegen die DSGVO dar, führt jedoch nicht zu einer Unwirksamkeit der Einwilligung, insbesondere aus praktischen Gründen, etwa bei Einwilligungen, die nicht durch eine Erklärung, sondern durch eine sonstige eindeutige bestätigende Handlung i. S. d. Art. 4 Nr. 11 DSGVO erteilt werden, wie das bewusste Posieren für ein Foto. Die Unverbindlichkeit der Einwilligungserklärung bei Verstoß gegen die DSGVO fällt systematisch nicht unter den Absatz des Widerrufsrechts. Außerdem wird vertreten, dass in Art. 13 Abs. 2 lit. c DSGVO die zusätzlichen Informationen zu den „zwingenden“ nach Art. 13 Abs. 1 DSGVO genannt werden.

Zumindest ist festzuhalten, dass eine fehlende Widerrufsbelehrung nicht unmittelbar zu einer Unwirksamkeit führt, wenn der Verantwortliche sowie die Verarbeitungszwecke als zwingende Informationen genannt werden. Grundsätzlich kann man sagen, dass sich kontextbezogen und je nach Verarbeitungszweck Unterschiede ergeben können, wo eine Widerrufsbelehrung erforderlich ist und wo von ihr abgesehen werden kann. Beispielsweise können der Fall einer Newsletter-Anmeldung und eine durch bestätigende Handlung erteilte Einwilligung gegenüber einem Fotografen auf einer Firmenfeier nicht gleichgesetzt werden.

Welche datenschutzrechtlichen Folgen hat der Widerruf der Einwilligung?

Hauptsächlich ist die Folge eines Widerrufs, dass dem Verantwortlichen mit sofortiger Wirkung die auf der Einwilligung beruhende Verarbeitung untersagt wird und ihre Fortsetzung ab der Widerrufserklärung unrechtmäßig wird.

Ein schlichter Wechsel der Rechtsgrundlage ist nach dem Widerruf grundsätzlich nicht zulässig. Der EDSA hat klargestellt, dass die Rechtsgrundlage vor Beginn der Verarbeitung festzulegen ist und nicht nachträglich ausgetauscht werden darf. Wer sich für die Einwilligung entscheidet, muss die Verarbeitung beenden, sobald die betroffene Person widerruft. Andernfalls liefe das Widerrufsrecht leer, denn mit dem Widerruf liegt eine ausdrücklich geäußerte Entscheidung gegen die Verarbeitung vor. Hinzu kommt, dass es der Transparenzpflicht aus Art. 13 Abs. 1 lit. c DSGVO und dem Grundsatz der Verarbeitung nach Treu und Glauben widerspricht, wenn Betroffene erst nach ihrem Widerruf von einer neuen Rechtsgrundlage erfahren.

Davon zu unterscheiden sind Verarbeitungsvorgänge, für die bereits vor dem Widerruf eine weitere Rechtsgrundlage mit eigenem Zweck bestand. Dazu zählen gesetzliche Aufbewahrungspflichten nach Art. 6 Abs. 1 S. 1 lit. c DSGVO, die Geltendmachung oder Verteidigung von Rechtsansprüchen und die Speicherung weniger Daten in einer Sperrliste, damit die widerrufende Person keine weitere Werbung erhält. Genau diese Konstellationen meint der Wortlaut des Art. 17 Abs. 1 lit. b DSGVO, der auf das Fehlen einer anderweitigen Rechtsgrundlage abstellt, und nicht eine nachgeschobene Begründung.

Müssen die Daten gelöscht werden, wenn Betroffene die Einwilligung widerrufen?

Der Widerruf einer Einwilligung ist mit der Löschpflicht des Verantwortlichen nach Art. 17 Abs. 1 lit. b DSGVO verbunden. Mit anderen Worten, Betroffenen, die ihre Einwilligung widerrufen haben, steht das Recht auf Löschung zu. Der Widerruf sowie das Löschbegehren können gleichzeitig erklärt werden. Eine Widerrufserklärung an sich kann implizit als Löschbegehren gelten und auch andersherum. Eine automatische Pflicht zur Datenlöschung besteht nach dem Widerruf nicht, sondern ist vom Begehren der betroffenen Person abhängig.

Wie wirkt sich der Widerruf der Einwilligung beim Bezahlen mit Daten aus?

Im Folgenden sind unter „Verbraucher“ nach § 13 BGB „betroffene Personen“ i. S. d. DSGVO und unter „Unternehmer“ nach § 14 BGB „Verantwortlicher“ für die Datenverarbeitung nach Art. 4 Nr. 7 DSGVO zu verstehen. Das Bezahlen mit Daten ist längst Realität. Auch wenn vom Verbraucher „nichts“ aus dem Geldbeutel geht, bezahlt er mit seinen personenbezogenen Daten, indem er der Datenverarbeitung einwilligt. Unter dem Schlagwort „Pay or Okay“ wird zudem diskutiert, wie freiwillig eine Einwilligung ist, wenn die einzige Alternative ein kostenpflichtiges Abonnement darstellt. Der EDSA hat sich hierzu kritisch positioniert.

An diesem Punkt kommt die europäische Richtlinie (EU) 2019/770 über bestimmte vertragliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen (DI-RL: Digitale-Inhalte-Richtlinie) zur Anwendung. Ihre Umsetzung führte zu umfangreichen Neuregelungen im Bürgerlichen Gesetzbuch (BGB).

In § 327q BGB sind die vertragsrechtlichen Folgen von datenschutzrechtlichen Erklärungen geregelt. Grundsätzlich gilt nach der Umsetzung des Erwägungsgrundes 39 der DI-RL in § 327q Abs. 1 BGB, dass insbesondere das Widerrufsrecht für die Einwilligung auch im Rahmen solcher Vertragsabschlüsse gilt und die Ausübung die Wirksamkeit des Vertrages unberührt lässt.

Welche Folgen regelt § 327q BGB für Unternehmer?

Aus Erwägungsgrund 40 der DI-RL geht deutlich hervor, dass die Richtlinie an sich nicht die Folgen eines Widerrufs regeln soll, sondern diese dem nationalen Recht der EU-Mitgliedsstaaten unterliegen. Nach dieser Erwägung wurde in § 327q Abs. 2 BGB geregelt, dass im Falle eines Widerrufs dem Unternehmer ein Kündigungsrecht zustehen kann:

„Widerruft der Verbraucher eine von ihm erteilte datenschutzrechtliche Einwilligung oder widerspricht er einer weiteren Verarbeitung seiner personenbezogenen Daten, so kann der Unternehmer einen Vertrag, der ihn zu einer Reihe einzelner Bereitstellungen digitaler Produkte oder zur dauerhaften Bereitstellung eines digitalen Produkts verpflichtet, ohne Einhaltung einer Kündigungsfrist kündigen, wenn ihm unter Berücksichtigung des weiterhin zulässigen Umfangs der Datenverarbeitung und unter Abwägung der beiderseitigen Interessen die Fortsetzung des Vertragsverhältnisses bis zum vereinbarten Vertragsende oder bis zum Ablauf einer gesetzlichen oder vertraglichen Kündigungsfrist nicht zugemutet werden kann.“

Als weitere Folge werden in § 327q Abs. 3 BGB Ersatzansprüche des Unternehmers gegen den Verbraucher insbesondere wegen der durch die Ausübung des Widerrufsrechts bewirkten Einschränkungen einer zulässigen Datenverarbeitung ausgeschlossen. In Anlehnung an Erwägungsgrund 39 wird hiermit die Freiheit des Verbrauchers gewährleistet, seine Betroffenenrechte aus dem Datenschutz auszuüben, ohne Ersatzansprüche befürchten zu müssen. Ein Blick nach Österreich zeigt, dass dort in der Richtlinienumsetzung keine dem § 327q BGB entsprechende Regelung in Kraft getreten ist.

Gibt es Einschränkungen, die Einwilligung zu widerrufen?

Die Widerruflichkeit der Einwilligung steht Betroffenen frei zu, das heißt hierfür ist keine Begründung notwendig. Demnach ist ein genereller, im Vorhinein vereinbarter Verzicht auf das Widerrufsrecht keinesfalls möglich. Eingeschränkt ist nicht das Widerrufsrecht selbst, sondern allenfalls seine Reichweite. Der Widerruf erfasst nur jene Verarbeitung, die ausschließlich auf der Einwilligung beruhte.

Das zeigt sich bei der Datenverarbeitung im Rahmen der Vertragserfüllung. Ist die Verarbeitung für die Durchführung des Vertrages erforderlich, trägt Art. 6 Abs. 1 S. 1 lit. b DSGVO sie von Anfang an. Eine Einwilligung ist daneben überflüssig und wäre wegen der fehlenden Freiwilligkeit sogar angreifbar. Ein Beispiel sind Verträge mit Fotomodels, bei denen Betroffene für die Nutzung des eigenen Fotos ein Entgelt erhalten. Nicht der Widerruf ist hier ausgeschlossen, sondern die vertraglich erforderliche Verarbeitung lief ohnehin nie über die Einwilligung.

Für Verantwortliche folgt daraus eine klare Aufgabe. Vor Beginn der Verarbeitung ist festzulegen und zu dokumentieren, welcher Verarbeitungsvorgang auf welcher Rechtsgrundlage ruht und welchem Zweck er dient. Nur dann lässt sich nach einem Widerruf bestimmen, welche Verarbeitung zu beenden ist und welche eigenständig gerechtfertigt bleibt.

Wie sollten Verantwortliche mit einer widerrufenen Einwilligung umgehen?

Verantwortliche können sich berechtigterweise die Frage stellen, wie sie mit einer widerrufenen Einwilligung umgehen sollten. Sie müssen nach einer widerrufenen Einwilligung unbedingt tätig werden. Doch abgesehen davon, ob der Widerruf seitens der Betroffenen erklärt wurde oder nicht, sollten Verantwortliche auch im Vorfeld tätig werden.

Im Vorfeld geht es darum, dass betroffene Personen sich über die Möglichkeit des Widerrufs im Klaren sind. Dafür müssen Verantwortliche die betroffenen Personen bereits bei der Abgabe der Einwilligungserklärung auf das Widerrufsrecht hinweisen. Zudem sind einfache und schnelle Kommunikationskanäle zur Abgabe der Widerrufserklärung zur Verfügung zu stellen.

Insbesondere sollten mehrere Widerrufsmöglichkeiten angeboten werden, beispielsweise mit einem Abmeldelink, telefonisch, postalisch oder per E-Mail, und es sollte den Betroffenen überlassen bleiben, welchen Kommunikationsweg sie wählen. Die Best-Practice-Lösung ist, den Widerruf auf dieselbe Weise anzubieten, wie die Einwilligung eingeholt wurde.

Was ist nach dem Widerruf der Einwilligung im Datenschutz zu tun?

Nachdem eine Widerrufserklärung zugegangen ist, sind die folgenden Schritte vorzunehmen. Maßgeblich ist dabei für jeden einzelnen Verarbeitungsvorgang, ob für ihn bereits vor dem Widerruf eine weitere Rechtsgrundlage mit eigenem Zweck bestand. Nur dann darf er fortgeführt werden.

• Sicherstellen, dass eine fortführende Datenverarbeitung nicht stattfindet, wenn keine zusätzliche Rechtsgrundlage besteht.
• Feststellen, ob ebenfalls ein Löschbegehren der betroffenen Person besteht. Bei der Löschung sind Aufbewahrungspflichten zu beachten und ggf. für Newsletter die notwendigen Daten in einer Blacklist zu speichern.
• Insbesondere mit einem verknüpften Löschantrag die betroffenen Personen über die ergriffenen Maßnahmen bezüglich der Löschung informieren. Wenn keine Pflicht besteht, dem Antrag nachzukommen, ist dies ebenfalls der betroffenen Person mitzuteilen.

Die Blacklist (bzw. Sperrliste) ist dafür das Musterbeispiel. Sie dient nicht mehr dem Versand des Newsletters, sondern allein dem Zweck, den Widerruf dauerhaft zu beachten. Gespeichert werden darf deshalb nur das Minimum, in der Regel allein die Mailadresse. Ein Löschverlangen steht der Sperrliste nicht entgegen, erfasst aber alle übrigen Daten. Darüber hinaus muss der Widerruf tatsächlich in allen beteiligten Systemen und bei eingesetzten Auftragsverarbeitern ankommen. Wurden die Daten an Empfänger offengelegt, ist bei einer Löschung die Mitteilungspflicht nach Art. 19 DSGVO zu beachten.

Entscheidend ist der Zeitpunkt. Die Verarbeitung ist unverzüglich einzustellen, denn ab Zugang der Widerrufserklärung ist sie ohne weitere Rechtsgrundlage unrechtmäßig. Die Frist von einem Monat nach Art. 12 Abs. 3 DSGVO wird hier häufig missverstanden. Sie gilt für die Information der betroffenen Person über die getroffenen Maßnahmen und nicht für die Beendigung der Verarbeitung selbst.

Was droht Verantwortlichen, die einen Widerruf der Einwilligung ignorieren?

Wer trotz Widerruf weiterverarbeitet, verarbeitet ohne Rechtsgrundlage. Aufsichtsbehörden können diesen Verstoß nach Art. 83 Abs. 5 lit. a DSGVO mit einem Bußgeld sanktionieren. Die typische Konstellation ist unspektakulär. Eine Abmeldung wird im Newsletter-Tool verarbeitet, aber nicht an das CRM oder an einen Dienstleister weitergegeben, sodass weiter Werbung versandt wird. Beim Direktmarketing nach der DSGVO kommt die wettbewerbsrechtliche Seite hinzu, denn E-Mail-Werbung ohne wirksame Einwilligung gilt nach § 7 Abs. 2 Nr. 2 UWG als unzumutbare Belästigung und kann Unterlassungsansprüche und Abmahnungen auslösen.

Daneben können Betroffene immateriellen Schadensersatz nach Art. 82 DSGVO verlangen. Der EuGH hat geklärt, dass ein Verstoß allein noch keinen Anspruch begründet, zugleich aber keine Erheblichkeitsschwelle für den Schaden gilt. Bereits der Verlust der Kontrolle über die eigenen Daten kann einen immateriellen Schaden darstellen. Ein ignorierter Widerruf ist dafür ein naheliegender Anknüpfungspunkt, weil die betroffene Person ihre Entscheidung ausdrücklich geäußert hat. Die Beträge im Einzelfall bleiben überschaubar, in der Summe vieler Betroffener und zusammen mit den Verfahrenskosten sind sie jedoch von Bedeutung.

Weil Verantwortliche nach Art. 7 Abs. 1 DSGVO die erteilte Einwilligung nachweisen müssen, liegt es nahe, auch den Widerruf nachvollziehbar zu dokumentieren. Dazu gehören Zeitpunkt des Zugangs, gewählter Kommunikationsweg und die Systeme, in denen die Verarbeitung beendet wurde. Diese Dokumentation ist in Beschwerdeverfahren vor einer Aufsichtsbehörde regelmäßig das entscheidende Beweismittel.

Wo finden Betroffene ein Muster, um die Einwilligung zu widerrufen?

Als betroffene Person kann es immer mal wieder der Fall sein, dass man die erteilte Einwilligung widerrufen möchte. Nun stellt sich die Frage, wie das Widerrufsrecht geltend gemacht werden kann. Hierfür steht eine kostenlose Mustervorlage der Verbraucherzentrale zur Verfügung. Die Textvorlage kann für jegliche Kommunikationswege verwendet werden.

Die Einwilligung wird nach der DSGVO nicht auf Lebenszeit erteilt

Betroffene Personen können in die Verarbeitung ihrer personenbezogenen Daten einwilligen. Um die Einwilligung als Rechtsgrundlage nutzen zu können, unterliegt sie gewissen Anforderungen, um ihre Wirksamkeit zu entfalten. Nach einer erteilten Einwilligung steht Betroffenen das Recht auf Widerruf zu, was insbesondere für die Wahrung der informationellen Selbstbestimmung von Relevanz ist. Der Widerruf wirkt allein für die Zukunft und erfasst nur die Verarbeitung, die auf der Einwilligung beruhte. Eine automatische Löschung folgt daraus nicht, doch mit dem Widerruf sind die Voraussetzungen des Art. 17 Abs. 1 lit. b DSGVO erfüllt, sodass Betroffene die Löschung ihrer Daten verlangen können.

Die Einwilligung ist damit keine Entscheidung auf Lebenszeit, auch wenn die DSGVO keine ausdrückliche Geltungsdauer vorsieht. Allein der Zeitablauf lässt eine erteilte Einwilligung nicht entfallen, wohl aber eine Veränderung der Verarbeitung. Wenn sich Zwecke, Empfänger oder Umstände so verändern, dass die ursprüngliche Information die heutige Verarbeitung nicht mehr trägt, ist die Einwilligung nicht mehr informiert und bestimmt und muss neu eingeholt werden. Das Recht auf informationelle Selbstbestimmung verhindert jedenfalls eine lebenslängliche Einwilligung.