DSGVO-Einwilligungsmanagement für sichere Dateiübertragung

Einwilligung nach Artikel 6 Abs. 1 lit. a DSGVO ist häufig die falsche Rechtsgrundlage für Dateiübertragungen. Vertrag (lit. b), rechtliche Verpflichtung (lit. c) und berechtigte Interessen (lit. f) decken die meisten B2B-Dateifreigabe-Szenarien ab, ohne Betroffene um ein Opt-in zu bitten. Wenn Einwilligung tatsächlich die richtige Grundlage ist — Marketinglisten, Newsletter-Anmeldungen, freiwillige Datenbeiträge — gelten nach Artikel 7 strenge Regeln: freiwillig, spezifisch, informiert, unmissverständlich und jederzeit so einfach widerrufbar wie erteilt. Fehler bei der Einwilligung machen die gesamte Übertragung zu unrechtmäßiger Verarbeitung nach Artikel 5 Abs. 1 lit. a.

Warum Einwilligung bei B2B-Transfers selten die richtige Grundlage ist

Ein Freelancer, der einem Kunden eine 2-GB-Projektlieferung sendet, braucht keine Einwilligung des Kunden — der Auftrag ist die Rechtsgrundlage nach lit. b. Eine Kanzlei, die eine unterzeichnete Vertraulichkeitsvereinbarung an die Gegenseite sendet, braucht ebenfalls keine Einwilligung. Ein klinisches Prüfzentrum, das pseudonymisierte Daten an den Sponsor überträgt, handelt auf Basis von lit. b oder Artikel 9 Abs. 2 lit. j für besondere Datenkategorien. Wer für alles auf Einwilligung zurückgreift, schafft Fragilität: Betroffene können jederzeit nach Artikel 7 Abs. 3 widerrufen, was Sie möglicherweise an der Erfüllung vertraglicher Pflichten hindert. Wählen Sie einmal die richtige Grundlage, dokumentieren Sie sie und hören Sie auf zu fragen.

Die Einwilligungsanforderungen aus Artikel 7

Artikel 7 Abs. 1 verpflichtet Sie, den Nachweis der Einwilligung zu erbringen. Artikel 7 Abs. 2 verlangt, dass Einwilligungsanfragen klar unterscheidbar, verständlich und in einfacher Sprache formuliert sind. Artikel 7 Abs. 3 garantiert einen Widerruf, der genauso einfach ist wie die Erteilung. Artikel 7 Abs. 4 erklärt Einwilligung für unwirksam, wenn sie an Serviceleistungen geknüpft ist, die die betreffenden Daten gar nicht benötigen. Für Dateiübertragungen bedeutet das: Sie dürfen „Ich stimme dem Empfang von Marketing-PDFs zu" nicht mit „Ich stimme dem Empfang meiner Kaufbestätigung zu" bündeln. Ersteres ist Einwilligung, letzteres ist Vertragserfüllung. Trennen Sie beides, sonst verstoßen Sie gegen Artikel 7 Abs. 4.

Dark Patterns, die Einwilligungen entwerten

Ein vorausgefülltes Kontrollkästchen ist unwirksam (Planet49, C-673/17, Oktober 2019). Cookie-Walls, die Dienste verweigern bis eine Einwilligung für nicht essentielle Cookies erteilt wird, sind unwirksam (EDSA-Leitlinien, Mai 2020). „Alle akzeptieren"- und „Alle ablehnen"-Schaltflächen müssen gleich prominent sein (CNIL-Bußgelder gegen Google und Facebook, Dezember 2021, 150 Mio. Euro und 60 Mio. Euro). Bei Dateiübertragungen ist das analoge Dark Pattern das Bündeln des Download-Zugriffs mit einem Marketing-Opt-in: „Datei herunterladen" ist essenziell; „Newsletter abonnieren" ist es nicht. Verbinden Sie beides niemals hinter einer einzigen Schaltfläche.

Granulare Einwilligung und Dateitypen

Wenn Sie eine Plattform betreiben, auf der Nutzer Fotos, Dokumente und Videos hochladen, benötigen Betroffene für jeden Datentyp eine gesonderte Einwilligung. Ein Newsletter, bei dem Abonnenten auch Urlaubsfotos in eine gemeinsame Galerie hochladen, braucht separate Einwilligungen für E-Mail-Marketing und Foto-Hosting. Granularität erstreckt sich auf Zwecke: Die Einwilligung zur „Weitergabe an Partner" ohne Nennung der Partner scheitert am Spezifitätsgebot des Artikels 7. Nennen Sie die Empfängerkategorien — Werbepartner, Analyseanbieter, Unterauftragsverarbeiter — und wenn das nicht möglich ist, greifen Sie auf berechtigte Interessen mit einer ordentlichen Interessenabwägung zurück.

Einwilligungsnachweise und Beweislast

Artikel 7 Abs. 1 legt die Beweislast beim Verantwortlichen. Ein Einwilligungsnachweis braucht mindestens fünf Felder: Wer hat eingewilligt (Betroffenen-ID, E-Mail oder gehashte Kennung), wann (Zeitstempel, Zeitzone), worin (exakter angezeigter Text), wie (Formularversion, IP, User Agent bei Web-Erfassung) und wie der Widerruf erfolgt (Verweis auf den Mechanismus). Tools wie OneTrust, Usercentrics, Didomi und Cookiebot decken Web-Erfassungen ab; für In-Produkt-Abläufe bauen Sie Ihr eigenes Ereignisprotokoll mit Append-only-Semantik. Die Aufbewahrung entspricht dem Gültigkeitszeitraum der Einwilligung plus der Verjährungsfrist (in Deutschland typischerweise drei Jahre nach regulärer Verjährung, in anderen Ländern bis zu sechs Jahre).

Widerrufsabläufe, die der Erteilung ebenbürtig sind

Artikel 7 Abs. 3 fordert, dass der Widerruf genauso einfach ist wie die Einwilligung. War die Einwilligung ein einzelner Klick auf ein Kontrollkästchen, muss der Widerruf ebenfalls ein einzelner Klick sein. Versteckte Präferenzzentren hinter drei Kontomenüs scheitern daran. E-Mail-basierte Abmelde-Links funktionieren, wenn sie den Widerruf per Klick verarbeiten, ohne dass die betroffene Person sich einloggen muss. Für Dateiübertragungen bedeutet Widerruf typischerweise das Stoppen künftiger Übertragungen und die Löschung vergangener nach Artikel 17 Abs. 1 lit. b, wenn Einwilligung die einzige Grundlage war. Ihr Abmelde-Endpunkt sollte sowohl das Einwilligungs-Widerrufsereignis als auch den Löschjob auslösen.

Einwilligung von Kindern und elterliche Verifikation

Artikel 8 DSGVO legt 16 Jahre als Standardalter fest, unterhalb dessen für Dienste der Informationsgesellschaft eine elterliche Einwilligung erforderlich ist; die Mitgliedstaaten können auf bis zu 13 Jahre absenken. Frankreich nutzt 15, Deutschland 16, Spanien 14, Schweden und Portugal 13. Von Regulatoren akzeptierte Verifikationsmethoden umfassen Kreditkartenprüfungen, nationale Ausweisverifikation, unterzeichnete Einwilligungsformulare und Double-Opt-in mit der verifizierten E-Mail der Eltern. Richtet sich Ihre Dateiübertragungsplattform an den Bildungsbereich, müssen Personen unter 16 Jahren für jede einwilligungsbasierte Datenverarbeitung (in der Regel Kontoerstellung, Marketing, manchmal Dateispeicherfristen) elterliche Einwilligung einholen.

Einwilligung für internationale Transfers

Artikel 49 Abs. 1 lit. a erlaubt Einwilligung als Ausnahmeregelung für Transfers in Länder ohne Angemessenheitsbeschluss, aber nur für gelegentliche, nicht-repetitive Transfers. Die EDSA-Leitlinien 2/2018 zu Artikel 49 betonen „ausdrückliche Einwilligung" — eine höhere Hürde als gewöhnliche Einwilligung — die eine schriftliche Erklärung oder Äquivalent erfordert und bei der die betroffene Person über die spezifischen Risiken informiert sein muss, einschließlich des fehlenden Angemessenheitsbeschlusses. Für routinemäßige Dateiübertragungen in die USA oder andere Länder ohne Angemessenheitsbeschluss nutzen Sie stattdessen SCCs plus eine Datentransfer-Folgenabschätzung. Einwilligung ist ein Notfallhebel, keine Skalierungsstrategie.

Neu-Einwilligung bei Änderungen der Bedingungen

Wenn Sie Verarbeitungszwecke ändern, neue Empfänger hinzufügen oder Aufbewahrungsfristen verlängern, decken bestehende Einwilligungen möglicherweise die erweiterte Verarbeitung nicht ab. Der sicherste Weg ist eine neue Einwilligung mit aktualisierten Offenlegungen. Einschränkungen sind ohne neue Einwilligung in Ordnung. Der Test: Wäre die ursprüngliche Einwilligung erteilt worden, wenn die betroffene Person die neuen Tatsachen gekannt hätte? Im Zweifel neu einholen. Lösen Sie den Neu-Einwilligungsablauf aus, bevor die neue Verarbeitung beginnt — nicht danach — und pausieren Sie Übertragungen, bis die neue Einwilligung dokumentiert ist.

Technische Integrationsmuster

In einem Dateiübertragungsprodukt ist das saubere Muster ein Einwilligungs-Microservice, den jeder Upload-, Download- und Benachrichtigungsaufruf vor der Ausführung prüft. Der Einwilligungsdatensatz trägt eine UUID, die in Prüfprotokollen für jeden Dateivorgang referenziert wird. Widerruf invalidiert künftige Prüfungen und löst einen asynchronen Löschjob aus. Dienste wie HexaTransfer umgehen diese Komplexität, indem Übertragungen auf vertraglicher Notwendigkeit basieren — der Absender initiiert, der Empfänger lädt herunter, beides implizit unter dem Übertragungsvertrag gedeckt — und Artikel 6 Abs. 1 lit. a Einwilligung für die optionale Newsletter-Anmeldung reservieren.

Einwilligung ist ein Werkzeug, keine Voreinstellung. Wählen Sie die Rechtsgrundlage, die zur Verarbeitung passt. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.