Was ist ein Einwilligungsbeleg?
Ein Einwilligungsbeleg hilft einer Organisation, Einwilligungen nachzuweisen und zu prüfen, statt sich auf einen einfachen Datenbankwert „consent = true“ oder auf einen Screenshot eines Einwilligungsbanners zu verlassen.
Beruht die Verarbeitung auf einer Einwilligung, muss die Organisation nach der GDPR nachweisen können, dass die Person eingewilligt hat. Wirksame Einwilligungsnachweise sollten daher Informationen bewahren wie: wer eingewilligt hat, wann die Einwilligung erteilt wurde, worüber die Person informiert wurde und wie die Einwilligung eingeholt wurde.
In Indien sieht der DPDP Act ebenfalls vor, dass ein Data Fiduciary, wenn die Einwilligung die Grundlage der Verarbeitung bildet und ihre Wirksamkeit in Frage gestellt wird, nachweisen können muss, dass der erforderliche Hinweis erteilt und die Einwilligung im Einklang mit dem Gesetz und den geltenden Regeln eingeholt wurde.
Der Einwilligungsbeleg einfach erklärt
Stellen Sie sich einen Einwilligungsbeleg als digitalen Nachweis einer Einwilligungsentscheidung vor.
Eine Besucherin oder ein Besucher öffnet beispielsweise eine Website und wählt:
- Analyse-CookiesErlaubt
- Werbe-CookiesAbgelehnt
- Personalisierte WerbungAbgelehnt
- Funktionale CookiesErlaubt
Ein nützlicher Einwilligungsbeleg kann die Entscheidung zusammen mit dem Kontext bewahren, der nötig ist, um sie zu rekonstruieren, etwa:
- Kennung des Einwilligungsbelegs oder der Transaktion
- Datum und Uhrzeit
- Nutzer- oder pseudonyme Kennung
- Einwilligungskategorien oder -zwecke
- Erfasste Dienste, Anbieter oder Verarbeitungstätigkeiten
- Einwilligungsstatus für jeden Zweck
- Version des Datenschutz- oder Einwilligungshinweises
- Methode oder Kanal, über den die Einwilligung eingeholt wurde
- Einschlägiger Rechtsraum oder regulatorischer Kontext
- Zeitstempel eines späteren Widerrufs oder einer Änderung
- Nachweis, der die Entscheidung mit dem einschlägigen Hinweis verknüpft
Die genauen Felder hängen von der Umsetzung, dem Rechtsraum und dem Anwendungsfall ab.
Warum sind Einwilligungsbelege wichtig?
Ein Einwilligungsbanner zeigt nur die Oberfläche, die den Nutzenden dargestellt wurde. Es beweist nicht zwangsläufig, was eine bestimmte Person zu einem bestimmten Zeitpunkt ausgewählt hat.
Ein Einwilligungsbeleg liefert eine prüfbare Abbildung einer einzelnen Einwilligungstransaktion.
Das ist besonders wichtig, wenn eine Organisation Fragen wie diese beantworten muss:
- Wozu hat diese Person eingewilligt?
- Wann hat sie eingewilligt?
- Welchen Datenschutzhinweis hat sie gesehen?
- Welche Zwecke waren erfasst?
- Hat sie die Einwilligung später widerrufen?
- Welcher Einwilligungsstand war zum Zeitpunkt der Verarbeitung aktiv?
Ein starkes Einwilligungsmanagementsystem sollte daher genügend Nachweise bewahren, um das betreffende Einwilligungsereignis rekonstruieren zu können.
Die Leitlinien des ICO empfehlen, einen wirksamen Prüfpfad zu führen und festzuhalten, wer eingewilligt hat, wann die Einwilligung erteilt wurde, worüber die Person informiert wurde und wie die Einwilligung eingeholt wurde.
Einwilligungsbeleg vs. Einwilligungsnachweis
Die Begriffe Einwilligungsbeleg und Einwilligungsnachweis sind eng verwandt, sollten aber nicht automatisch als identisch behandelt werden.
Einwilligungsnachweis
Ein Einwilligungsnachweis ist der zugrunde liegende Nachweis, den eine Organisation oder ein Einwilligungsmanagementsystem vorhält.
Er kann detaillierte technische Informationen enthalten über:
- Das Einwilligungsereignis
- Nutzerkennung
- Zeitstempel
- Version des Hinweises
- Zwecke
- Anbieter oder Dienste
- Einwilligungsstatus
- Erhebungsmethode
- Widerrufe
- Änderungen von Präferenzen
- Rechtsraum
- Technische Metadaten
Einwilligungsbeleg
Ein Einwilligungsbeleg ist eine Abbildung dieser Einwilligungstransaktion, die der Person vorgelegt oder zugänglich gemacht und als Nachweis der Entscheidung verwendet werden kann.
Die Kantara Consent Receipt Specification beschreibt einen Einwilligungsbeleg als Aufzeichnung der Befugnis, die eine Person einem Verantwortlichen für die Verarbeitung personenbezogener Daten erteilt, und definiert eine menschenlesbare Darstellung, die sich auch in JSON abbilden lässt.
Warum die Unterscheidung wichtig ist
Eine Datenbank kann Tausende interner Einwilligungsereignisse enthalten, während ein nutzerseitiger Einwilligungsbeleg eine klare Abbildung der Einwilligungsentscheidung einer bestimmten Person liefern kann.
Was sollte ein Einwilligungsbeleg enthalten?
Es gibt keine einzige universelle Feldliste, die jede Organisation für jede Einwilligungstransaktion verwenden muss.
Ein belastbarer Einwilligungsbeleg sollte jedoch genügend Informationen enthalten, um Kontext und Inhalt der Entscheidung zu belegen.
Einwilligungskennung
Eine eindeutige Kennung ermöglicht es der Organisation, eine bestimmte Einwilligungstransaktion aufzufinden und zu referenzieren.
Zeitstempel
Der Beleg sollte festhalten, wann die Einwilligungsentscheidung erfolgt ist, idealerweise mit passender Zeitzonen- oder UTC-Angabe.
Nutzer- oder Personenkennung
Der Nachweis sollte die betreffende Person oder das betreffende Gerät auf verhältnismäßige Weise identifizieren.
Je nach Umsetzung kann das eine Kontokennung, eine pseudonyme Kennung, eine Sitzungskennung oder eine andere geeignete Referenz sein.
Einwilligungsstatus
Der Beleg sollte zeigen, ob ein bestimmter Zweck, eine Kategorie oder eine Verarbeitungstätigkeit war:
- Erteilt
- Abgelehnt
- Widerrufen
- Geändert
Eine granulare Aufzeichnung ist in der Regel nützlicher als ein einzelner Gesamtwert „akzeptiert“.
Zwecke
Der Beleg sollte ausweisen, was die Einwilligung abgedeckt hat.
Zum Beispiel:
- Analyse
- Personalisierte Werbung
- Marketingkommunikation
- Personalisierung
- Datenweitergabe
- Bestimmte Produktfunktionen
Eine Einwilligung sollte nicht weiter dargestellt werden, als es den Zwecken entspricht, für die sie tatsächlich eingeholt wurde.
Version des Hinweises oder der Richtlinie
Die Organisation sollte feststellen können, welcher Datenschutzhinweis, Einwilligungshinweis oder welche sonstigen Informationen bei Einholung der Einwilligung dargestellt wurden.
Das ist besonders wichtig, wenn sich Hinweise im Lauf der Zeit ändern.
Eine Aufzeichnung mit dem Inhalt „Nutzer hat eingewilligt“ ist deutlich schwächer als eine, die Folgendes belegen kann:
Nutzer → Einwilligungsereignis → Zweck → Version des Hinweises → Zeitstempel.
Erhebungsmethode
Der Beleg kann festhalten, wie die Einwilligung eingeholt wurde, zum Beispiel über:
- Einwilligungsbanner auf der Website
- Präferenzzentrum
- Mobile Anwendung
- Kontoeinstellungen
- Consent Manager
- Schriftliches Formular
- Sonstiger unterstützter Kanal
Dienste oder Anbieter
Soweit relevant, kann der Beleg die Dienste, Anbieter, Cookies, Tags oder Verarbeitungstätigkeiten ausweisen, die mit der Entscheidung verbunden sind.
Das ist besonders nützlich bei Cookie-Einwilligungen und in Umgebungen der Werbetechnologie.
Widerruf oder spätere Änderungen
Eine Einwilligung ist nicht zwangsläufig eine dauerhafte Entscheidung.
Ein Einwilligungsmanagementsystem sollte daher spätere Präferenzänderungen oder Widerrufe mit der ursprünglichen Einwilligungshistorie verknüpfen können.
Ist ein Einwilligungsbeleg nach der GDPR vorgeschrieben?
Die GDPR verlangt eine nachweisbare Einwilligung, wenn die Einwilligung als Rechtsgrundlage für die Verarbeitung dient, schreibt aber nicht in jedem Fall schlicht ein Dokument namens „Einwilligungsbeleg“ vor.
Artikel 7 Absatz 1 verlangt, dass der Verantwortliche nachweisen kann, dass die betroffene Person in die Verarbeitung eingewilligt hat. Praktisch bedeutet das, dass Organisationen verlässliche Nachweise der Einwilligung benötigen.
Ein Einwilligungsbeleg kann eine wirksame Form der Darstellung dieses Nachweises sein, doch Organisationen sollten unterscheiden zwischen:
- Der gesetzlichen Pflicht, die Einwilligung nachzuweisen, und
- Einer bestimmten technischen Umsetzung zur Aufzeichnung oder Darstellung dieses Nachweises.
Diese Unterscheidung ist für korrekte Inhalte zur GDPR-Compliance wichtig.
Einwilligungsbelege und die Einwilligung nach der GDPR
Damit eine Einwilligung als Rechtsgrundlage nach der GDPR taugt, muss die zugrunde liegende Einwilligung die anwendbaren Anforderungen erfüllen.
Ein Einwilligungsbeleg macht eine unwirksame Einwilligung nicht wirksam.
Ein Beleg kann zum Beispiel einen Einwilligungsmechanismus nicht heilen, der:
- Vorangekreuzte Kästchen verwendet, obwohl eine bestätigende Handlung erforderlich ist
- Nicht zusammenhängende Zwecke bündelt
- Nicht ausreichend informiert
- Den Widerruf unnötig erschwert
- Die Einwilligung aufzeichnet, ohne den einschlägigen Kontext zu bewahren
- Eine Ablehnung fälschlich als Einwilligung darstellt
Der Beleg belegt die Entscheidung, die tatsächlich getroffen wurde. Er ersetzt nicht die Pflicht, überhaupt erst eine wirksame Einwilligung einzuholen.
Was verlangt die GDPR zur Dokumentation von Einwilligungen?
Das ICO empfiehlt, Aufzeichnungen zu führen, die Folgendes belegen:
- Wer eingewilligt hat
- Wann die Einwilligung erteilt wurde
- Worüber die Person informiert wurde
- Wie die Einwilligung eingeholt wurde
Die Organisation sollte zudem so lange ausreichende Informationen aufbewahren, um die Einwilligungsentscheidung nachzuweisen, wie sie sich für die Verarbeitung auf die Einwilligung stützt.
Das macht die Versionierung von Hinweisen besonders wichtig.
Zum Beispiel:
- Datum der Einwilligung
- 10. September 2026
- Version des Hinweises
- Datenschutzhinweis v4.2
- Zweck
- Analyse
- Entscheidung
- Erteilt
- Erhebungsmethode
- Website-CMP
- Beleg-ID
- CR-XXXXXXXX
- Status
- Aktiv
Die genaue Umsetzung kann sich unterscheiden, doch die Nachweise sollten aussagekräftig und rekonstruierbar sein.
Einwilligungsbelege nach dem DPDP Act in Indien
Der Digital Personal Data Protection Act, 2023 (DPDP Act) verwendet die Begriffe Data Principal und Data Fiduciary statt der Begriffe „betroffene Person“ und „Verantwortlicher“ der GDPR.
Section 6 sieht vor, dass die Einwilligung frei, spezifisch, informiert, bedingungslos und unmissverständlich sein muss, durch eine klare bestätigende Handlung erteilt wird und auf die für den angegebenen Zweck erforderlichen personenbezogenen Daten beschränkt ist.
Wichtig ist: Bildet die Einwilligung die Grundlage der Verarbeitung und wird ihre Wirksamkeit in Frage gestellt, muss der Data Fiduciary nachweisen, dass der erforderliche Hinweis erteilt und die Einwilligung im Einklang mit dem Gesetz und den geltenden Regeln eingeholt wurde.
Die endgültigen DPDP Rules enthalten zudem besondere Anforderungen an registrierte Consent Manager. Ein Consent Manager muss Aufzeichnungen über erteilte, verweigerte oder widerrufene Einwilligungen, über Hinweise, die Einwilligungsanfragen vorausgehen oder beiliegen, sowie über bestimmte Weitergaben personenbezogener Daten führen. Die Regeln sehen außerdem den Zugang der Data Principals zu diesen Aufzeichnungen und deren maschinenlesbare Bereitstellung auf Anfrage vor, verbunden mit festgelegten Aufbewahrungsanforderungen.
Das macht Einwilligungsnachweise für die auf Indien ausgerichteten Compliance-Inhalte von ConsentX besonders relevant.
Einwilligungsbeleg vs. Einwilligungsbanner
Das ist nicht dasselbe.
| Einwilligungsbanner | Einwilligungsbeleg |
|---|---|
| Benutzeroberfläche zur Erhebung einer Entscheidung | Aufzeichnung oder Abbildung der Entscheidung |
| Erscheint vor oder während der Einwilligung | Wird aus dem Einwilligungsereignis erzeugt |
| Zeigt die verfügbaren Auswahlmöglichkeiten | Hält fest, was tatsächlich ausgewählt wurde |
| Stellt die Nutzerinteraktion in den Mittelpunkt | Stellt Nachweise und Prüfbarkeit in den Mittelpunkt |
| Kann sich ändern, wenn sich das Website-Design ändert | Sollte den historischen Einwilligungskontext bewahren |
| Beweist für sich genommen nicht die Auswahl einer Person | Kann die Entscheidung der Person nachweisen |
Ein Screenshot eines Einwilligungsbanners kann zeigen, wie eine Website ausgesehen hat.
Ein Einwilligungsbeleg sollte belegen helfen, wie eine bestimmte Person entschieden hat.
Einwilligungsbeleg vs. Cookie-Einwilligung
Die Cookie-Einwilligung ist ein spezieller Anwendungsfall des Einwilligungsmanagements.
Eine Website kann Einwilligungen einholen für:
- Analyse-Cookies
- Werbe-Cookies
- Personalisierung
- Social-Media-Technologien
- Sonstige nicht notwendige Tracker
Der Einwilligungsbeleg kann die daraus resultierenden Entscheidungen bewahren.
Zum Beispiel:
- AnalyseErteilt
- WerbungAbgelehnt
- FunktionalErteilt
Das zugrunde liegende Einwilligungssystem sollte zudem den einschlägigen Zeitstempel, die Version des Hinweises und weitere Nachweise vorhalten, die zur Auslegung der Entscheidung nötig sind.
Einwilligungsbeleg vs. Consent Management Platform
Eine Consent Management Platform (CMP) ist die Technologie, mit der Einwilligungspräferenzen erhoben, verwaltet, durchgesetzt und häufig auch aufgezeichnet werden.
Ein Einwilligungsbeleg ist ein Nachweis oder eine Abbildung einer bestimmten Einwilligungstransaktion.
Einfach gesagt:
System, das Einwilligungen verwaltet.
Nachweis, den das System speichert.
Abbildung einer Einwilligungsentscheidung.
Eine CMP kann daher im Rahmen ihrer umfassenderen Einwilligungsmanagement-Funktionen Einwilligungsbelege erzeugen oder vorhalten.
Was ist ein manipulationssicherer Einwilligungsbeleg?
Ein manipulationssicherer Einwilligungsbeleg ist so gestaltet, dass unbefugte Änderungen am Nachweis erkannt werden können.
Dabei können Techniken zum Einsatz kommen wie:
- Kryptografische Hashes
- Hash-Ketten
- Digitale Signaturen
- Unveränderliche oder rein anfügende Speicherung
- Versionierte Aufzeichnungen
- Sichere Zeitstempel
- Auditprotokolle
Das Ziel ist nicht, einen Einwilligungsnachweis auf magische Weise zum „rechtlichen Beweis“ zu machen, sondern die Integrität und Prüfbarkeit der Nachweise zu verbessern.
So kann eine Hash-Kette aufeinanderfolgende Einwilligungsnachweise verketten, sodass eine unbefugte Änderung eines früheren Nachweises erkannt werden kann.
ConsentX verwendet manipulationssichere Einwilligungsnachweise und beschreibt die Umsetzung als SHA-256-Hash-Kette. Die aktuelle Glossarseite von ConsentX stellt dies ausdrücklich als Mechanismus dar, mit dem sich Einwilligungsnachweise unabhängig überprüfen lassen und nur schwer rückdatiert werden können.
Reicht ein Screenshot als Nachweis der Einwilligung?
In der Regel ist ein Screenshot allein ein schwacher Nachweis.
Ein Screenshot kann zeigen, wie eine Einwilligungsoberfläche zu einem bestimmten Zeitpunkt ausgesehen hat, belegt aber grundsätzlich nicht, dass eine bestimmte Person eine bestimmte Auswahl getroffen hat.
Stärkere Nachweise können Folgendes verknüpfen:
Person oder Kennung + Zeitstempel + Einwilligungsentscheidung + Zwecke + Version des Hinweises + Erhebungsmethode.
Deshalb sind Einwilligungsnachweise und -belege für die Auditbereitschaft wichtig.
Was passiert, wenn eine Person ihre Einwilligung widerruft?
Der Widerruf sollte als Teil des Einwilligungslebenszyklus behandelt werden.
Ein nützliches Einwilligungssystem sollte Folgendes bewahren:
- Die ursprüngliche Einwilligungsentscheidung
- Datum und Uhrzeit der Einwilligung
- Die erfassten Zwecke
- Den späteren Widerruf oder die Präferenzänderung
- Datum und Uhrzeit des Widerrufs
- Den daraus resultierenden Einwilligungsstand
- Nachweise, dass nachgelagerte Verarbeitungen oder Technologien bei Bedarf angepasst wurden
Zum Beispiel:
- 10. SeptemberEinwilligung in Analyse erteilt
- 18. SeptemberEinwilligung in Analyse widerrufen
- 18. SeptemberEinwilligungsstatus auf abgelehnt geändert
So entsteht ein deutlich klarerer Prüfpfad, als wenn der ursprüngliche Wert einfach überschrieben wird.
Was sind Nachweise zur Einwilligung?
Nachweise zur Einwilligung sind die umfassendere Menge an Informationen, die eine Organisation vorhält, um zu belegen, dass die Einwilligung wirksam eingeholt und verwaltet wurde.
Dazu können gehören:
- Einwilligungsbelege
- Einwilligungsnachweise
- Versionen von Hinweisen
- Einwilligungsprotokolle
- Präferenzänderungen
- Widerrufsaufzeichnungen
- CMP-Konfiguration
- Auditprotokolle
- Zeitstempelinformationen
- Informationen zu Anbietern oder Verarbeitungen
- Technische Aufzeichnungen, die die Durchsetzung belegen
Ein Einwilligungsbeleg kann daher ein Baustein eines umfassenderen Systems für Einwilligungsnachweise und Audits sein.
Einwilligungsbeleg und Auditbereitschaft
Ein ausgereifter Einwilligungsmanagement-Prozess sollte es ermöglichen, die Fragen einer Prüferin oder einer Aufsichtsbehörde zu beantworten, ohne historische Ereignisse manuell rekonstruieren zu müssen.
Für jedes einschlägige Einwilligungsereignis sollte eine Organisation idealerweise Folgendes bestimmen können:
- Wer hat die Entscheidung getroffen?
- Wann wurde sie getroffen?
- Wozu hat die Person eingewilligt?
- Was hat sie abgelehnt?
- Welche Informationen wurden dargestellt?
- Welche Version des Hinweises galt?
- Wie wurde die Einwilligung eingeholt?
- Wurde die Einwilligung später widerrufen?
- Welcher Einwilligungsstand war zum Zeitpunkt der Verarbeitung aktiv?
- Lässt sich die Aufzeichnung in menschenlesbarer Form darstellen?
- Lässt sich ihre Integrität überprüfen?
Darin liegt der praktische Wert von Einwilligungsbelegen.
Wie Einwilligungsbelege funktionieren
Ein typischer Ablauf für Einwilligungsbelege sieht so aus:
Hinweis darstellen
Die Organisation stellt die einschlägigen Datenschutz- oder Einwilligungsinformationen dar.
Auswahl der Person erheben
Die Person trifft eine klare Auswahl für einen oder mehrere Zwecke.
Einwilligungsnachweis erstellen
Das System zeichnet die Entscheidung und die einschlägigen Kontextinformationen auf.
Beleg erzeugen
Es wird eine menschenlesbare Abbildung des Einwilligungsereignisses erzeugt.
Nachweis bewahren
Die Organisation speichert den Einwilligungsnachweis und die zugehörigen Metadaten sicher.
Entscheidung durchsetzen
Die Auswahl der Person wird, soweit einschlägig, auf die betreffenden Cookies, Tracker, Verarbeitungstätigkeiten oder sonstigen Technologien angewendet.
Spätere Änderungen aufzeichnen
Ändert oder widerruft die Person ihre Einwilligung, zeichnet das System das nachfolgende Ereignis auf.
Nachweise bei Bedarf bereitstellen
Die Organisation kann die einschlägige Aufzeichnung für Audits, Compliance-Prüfungen, Betroffenenanfragen, Streitfälle oder behördliche Nachfragen abrufen.
Was macht einen guten Einwilligungsbeleg aus?
Eine starke Umsetzung sollte sein:
Spezifisch
Sie sollte die Zwecke und Verarbeitungen ausweisen, die von der Entscheidung erfasst sind.
Mit Zeitstempel versehen
Die Organisation sollte wissen, wann die Entscheidung erfolgt ist.
Nachverfolgbar
Der Beleg sollte der betreffenden Person, Sitzung oder einer anderen geeigneten Kennung zugeordnet sein.
Versioniert
Die Organisation sollte feststellen können, welche Version des Hinweises oder der Richtlinie zu diesem Zeitpunkt dargestellt wurde.
Granular
Wird die Einwilligung getrennt nach Zwecken eingeholt, sollten die Nachweise diese einzelnen Entscheidungen bewahren.
Sicher
Einwilligungsnachweise sollten vor unbefugtem Zugriff und unbefugter Veränderung geschützt sein.
Prüfbar
Die Organisation sollte historische Aufzeichnungen abrufen und auslegen können.
Datenschutzbewusst
Einwilligungsnachweise können selbst personenbezogene Daten enthalten und sollten daher angemessen behandelt werden.
Einwilligungsbelege und Privacy by Design
Einwilligungsnachweise sollten keine unnötigen Datenschutzrisiken schaffen.
Ein Einwilligungsbeleg kann Kennungen, Zeitstempel, Präferenzen und Informationen über die Interaktion einer Person mit einem Dienst enthalten.
Organisationen sollten daher Folgendes berücksichtigen:
- Datenminimierung
- Zugriffskontrollen
- Verschlüsselung
- Aufbewahrungsfristen
- Pseudonymisierung
- Sichere Löschung
- Auditprotokollierung
- Angemessener Nutzerzugriff
Das Ziel ist, verlässliche Nachweise zu schaffen, ohne mehr personenbezogene Daten zu erheben als nötig.
Häufige Fehler bei Einwilligungsbelegen
Nur „consent = true“ speichern
Ein boolescher Wert erklärt nicht, wozu die Person zugestimmt hat, wann sie zugestimmt hat oder worüber sie informiert wurde.
Hinweise nicht versionieren
Ändert sich der Datenschutzhinweis, kann es der Organisation schwerfallen zu belegen, welche Version bei Einholung der Einwilligung dargestellt wurde.
Nur Zustimmungen aufzeichnen
Ablehnungen und Widerrufe können ebenso wichtig sein wie positive Einwilligungsentscheidungen.
Historische Einwilligungen überschreiben
Einen alten Einwilligungsstand durch einen neuen Wert zu ersetzen, kann nützliche Audithistorie zerstören.
Den Beleg für sich genommen als Nachweis einer wirksamen Einwilligung ansehen
Ein Beleg dokumentiert ein Einwilligungsereignis. Er macht einen ansonsten unwirksamen Einwilligungsmechanismus nicht rechtskonform.
Die nachgelagerte Durchsetzung ignorieren
„Marketing-Einwilligung widerrufen“ aufzuzeichnen reicht nicht, wenn die Organisation auf dieser Grundlage weiterhin Marketingkommunikation versendet.
Einen Screenshot des Banners als Einwilligungsnachweis behandeln
Die Oberfläche ist nicht dasselbe wie die individuelle Entscheidung der Person.
Die Sicherheit der Einwilligungsnachweise ignorieren
Einwilligungsnachweise können personenbezogene Daten enthalten und sollten entsprechend geschützt werden.
Einwilligungsbeleg und ConsentX
ConsentX ist darauf ausgelegt, Organisationen dabei zu helfen, Einwilligungen über Datenschutz- und Einwilligungs-Workflows hinweg zu erheben, zu verwalten, durchzusetzen und nachzuweisen.
Für Einwilligungsnachweise bietet ConsentX Einwilligungsnachweise und Auditnachweise, mit denen Organisationen eine strukturierte Aufzeichnung der Einwilligungsentscheidungen und ihres unterstützenden Kontexts führen können.
Die aktuelle Umsetzung von ConsentX beschreibt zudem manipulationssichere Einwilligungsnachweise auf Basis einer SHA-256-Hash-Kette, die unbefugte Änderungen leichter erkennbar machen und eine stärkere Prüfbarkeit bieten soll.
Das kann Organisationen helfen, wegzukommen von:
hin zu:
„Hier ist die Aufzeichnung, die zeigt, wozu die Person eingewilligt hat, wann und in welchem Einwilligungskontext.“
Einwilligungsbeleg: Das Wichtigste in Kürze
- Ein Einwilligungsbeleg ist eine strukturierte Abbildung der Einwilligungsentscheidung einer nutzenden Person.
- Ein Einwilligungsnachweis ist der zugrunde liegende Nachweis, den eine Organisation oder ein Einwilligungssystem vorhält.
- Die GDPR verlangt von Organisationen, die sich auf die Einwilligung stützen, dass sie nachweisen können, dass die Einwilligung eingeholt wurde.
- Ein Beleg macht einen ansonsten unwirksamen Einwilligungsmechanismus nicht rechtswirksam.
- Gute Einwilligungsnachweise sollten bewahren, wer eingewilligt hat, wann, worüber die Person informiert wurde und wie die Einwilligung eingeholt wurde.
- Versionen von Hinweisen und Richtlinien sind wichtig, um historische Einwilligungen zu rekonstruieren.
- Widerrufe und Präferenzänderungen sollten Teil der Einwilligungshistorie sein.
- Einwilligungsbelege sind nützlich für Audits, Compliance-Prüfungen, Streitfälle und Nachweisanfragen.
- Indiens DPDP-Rahmen stellt besondere Nachweis- und Dokumentationsanforderungen an Einwilligungen und Consent Manager.
- Technische Integritätsmaßnahmen wie Hashing können die Prüfbarkeit stärken, sollten aber nicht als Ersatz für eine rechtmäßige Einwilligung dargestellt werden.
Von „wir glauben, sie haben eingewilligt“ zum Nachweis
ConsentX ist darauf ausgelegt, Organisationen dabei zu helfen, Einwilligungen über Datenschutz- und Einwilligungs-Workflows hinweg zu erheben, zu verwalten, durchzusetzen und nachzuweisen. Die Einwilligungsnachweise und Auditnachweise führen eine strukturierte Aufzeichnung der Einwilligungsentscheidungen und ihres unterstützenden Kontexts, mit manipulationssicheren Aufzeichnungen auf Basis einer SHA-256-Hash-Kette.