Opt-in und Opt-out

Opt-in und Opt-out beschreiben, wie die Zustimmung einer Person zu einer Datenverarbeitung oder Werbeansprache eingeholt wird. Beim Opt-in-Modell wird eine Verarbeitung erst dann zulässig, wenn die betroffene Person ihr durch eine aktive, eindeutig bestätigende Handlung zugestimmt hat - etwa durch das bewusste Setzen eines Hakens. Beim Opt-out-Modell wird die Verarbeitung dagegen als zulässig unterstellt, solange die Person nicht widerspricht; die Last des Tätigwerdens liegt also bei der betroffenen Person.

Unter der DSGVO ist das Opt-out für eine Einwilligung im Sinne von Art. 4 Nr. 11 und Art. 7 DSGVO grundsätzlich unzulässig. Eine Einwilligung muss freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich abgegeben werden; vorangekreuzte Kästchen oder Untätigkeit genügen nach Erwägungsgrund 32 und der EuGH-Rechtsprechung (Planet49, C-673/17) ausdrücklich nicht. Wo eine Verarbeitung also auf Einwilligung gestützt wird - etwa bei nicht erforderlichen Cookies oder E-Mail-Werbung -, ist zwingend ein echtes Opt-in erforderlich.

Opt-out-Mechanismen behalten dennoch ihre Berechtigung, allerdings auf anderer rechtlicher Grundlage: Stützt sich eine Verarbeitung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, kann die Person nach Art. 21 DSGVO widersprechen - bei Direktwerbung sogar ohne Begründung und mit absoluter Wirkung. Auch die eng begrenzte Bestandskundenwerbung nach § 7 Abs. 3 UWG funktioniert als Opt-out. Verantwortliche müssen daher für jede Verarbeitung sauber bestimmen, ob sie ein vorgelagertes Opt-in benötigen oder ob ein nachgelagertes Opt-out (Widerspruch) genügt.