Der Widerruf muss so leicht sein wie die Zustimmung
Art. 7 Abs. 3 DSGVO enthält einen Satz, der in der Praxis fast immer verletzt wird: Der Widerruf muss so einfach sein wie die Erteilung. Zwei Klicks hin, sieben zurück – das erfüllt die Vorgabe nicht.
Der Widerruf ist kein Sonderfall, sondern die zweite Hälfte der Einwilligung. Ohne den Widerruf wäre die Zustimmung eine einmalige, endgültige Entscheidung – und damit etwas anderes als das, was die Verordnung unter Einwilligung versteht.
Was ein Widerruf auslösen muss
- Die Verarbeitung endetAb sofort, für die Zukunft. Was vorher rechtmäßig geschah, bleibt rechtmäßig – der Widerruf wirkt nicht rückwirkend.
- Die Ablagen werden geräumtCookies, Local Storage, IndexedDB – alles, was auf der widerrufenen Einwilligung beruhte, und nicht nur die Cookies.
- Empfänger werden benachrichtigtWurden Daten weitergegeben, muss der Widerruf dorthin weiterwandern. Bei Consent Mode geschieht das über die Signale.
- Der Widerruf wird protokolliertMit Zeitpunkt – als Beleg dafür, ab wann die Verarbeitung endete. Der Nachweis der früheren Einwilligung bleibt daneben bestehen.
Der Maßstab für „ebenso einfach“
Die Zustimmung erfolgte über ein Banner, das sich ungefragt in den Vordergrund schob und mit einem Klick beantwortet werden konnte. Der Widerruf muss auf vergleichbarem Weg möglich sein: erreichbar von jeder Seite, ohne Anmeldung, ohne Formular, ohne E-Mail an eine Adresse, die erst gesucht werden muss.
In der Praxis bedeutet das einen dauerhaft sichtbaren Zugang – meist ein kleiner Knopf am Bildschirmrand oder ein Eintrag im Fußbereich, der dieselbe Auswahl erneut öffnet.
Zwei Wege zurück
Was der Widerruf nicht bewirkt
- Der Widerruf wirkt nicht rückwirkend. Was bis dahin geschah, bleibt rechtmäßig, sofern die Einwilligung wirksam war.
- Ein Widerruf ersetzt nicht das Löschbegehren. Wer auch die bisherigen Daten entfernt haben will, muss dies gesondert verlangen – der Widerruf allein beendet nur die weitere Verarbeitung.
- Ein Widerruf berührt keine anderen Rechtsgrundlagen. Was auf einem Vertrag beruht, läuft weiter – der Widerruf betrifft nur, was auf der Einwilligung beruhte.
Auf die letzte Unterscheidung muss vor dem Widerruf hingewiesen werden: Art. 7 Abs. 3 verlangt, dass die betroffene Person vor der Erteilung darüber informiert wird, dass ein Widerruf möglich ist und was der Widerruf bewirkt. Ein Hinweis, der erst nach dem Klick erscheint, kommt zu spät.