9.3 Das Widerspruchs- und Opt-out-Recht

Das Widerspruchsrecht nach Art. 21 DSGVO ist eines der mächtigsten, aber auch am häufigsten missverstandenen Datenschutzrechte. Es gibt Ihnen die Möglichkeit, der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen — in bestimmten Fällen sogar ohne jeden Grund.

Zwei Varianten des Widerspruchsrechts

1. Widerspruch gegen berechtigte Interessen (Art. 21 Abs. 1)

Wenn ein Unternehmen Ihre Daten auf Basis seines «berechtigten Interesses» (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet — z. B. Betrugsbekämpfung, Netzwerksicherheit oder bestimmte Analysen — können Sie widersprechen. Das Unternehmen muss dann nachweisen, dass seine Interessen Ihre Rechte überwiegen. Gelingt dieser Nachweis nicht, muss die Verarbeitung eingestellt werden.

2. Absolutes Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2)

Gegen die Verarbeitung Ihrer Daten für Direktwerbung haben Sie ein unbedingtes Widerspruchsrecht — ohne Abwägung, ohne Begründungspflicht. Sobald Sie widersprechen, muss die Verarbeitung für diesen Zweck sofort eingestellt werden. Dies umfasst auch Profiling, sofern es mit Direktwerbung zusammenhängt.

Einwilligung widerrufen vs. Art. 21 Widerspruch — der Unterschied

Diese beiden Instrumente werden oft verwechselt: Der Widerruf der Einwilligung (Art. 7 Abs. 3) gilt nur, wenn die Verarbeitung auf Ihrer Einwilligung beruht. Sie ziehen Ihr «Ja» zurück. Der Widerspruch nach Art. 21 gilt, wenn die Verarbeitung auf berechtigten Interessen oder im öffentlichen Interesse beruht — also ohne Ihre Einwilligung. Hier widersprechen Sie einer Verarbeitung, der Sie nie ausdrücklich zugestimmt haben.

Praxisanleitung: Werbewiderspruch und Profiling

Um Direktwerbung zu stoppen, senden Sie ein Schreiben an den DSB des Unternehmens mit dem Hinweis auf Art. 21 Abs. 2 DSGVO. Viele Unternehmen bieten auch eine «Abbestellen»-Schaltfläche in Werbe-E-Mails an — dies genügt jedoch nicht immer für alle Verarbeitungsformen. Für Profiling (automatisierte Erstellung von Persönlichkeitsprofilen) widersprechen Sie explizit und schriftlich.

Global Privacy Control (GPC)

GPC ist ein technischer Browser-Standard, der Websites automatisch signalisiert, dass Sie der Weitergabe Ihrer Daten an Dritte widersprechen. In Browsern wie Firefox oder Brave können Sie GPC aktivieren. In Kalifornien (CCPA) ist die Beachtung des GPC-Signals seit 2022 für Unternehmen rechtsverbindlich. Unter der DSGVO ist die Rechtslage noch im Fluss, aber führende Datenschutzbehörden empfehlen die Beachtung.

DSGVO vs. CCPA-Opt-out-Mechanismen

Die DSGVO sieht ein Widerspruchsrecht (Opt-out bei berechtigten Interessen) und ein absolutes Werbewiderspruchsrecht vor. Der California Consumer Privacy Act (CCPA) kennt das «Right to Opt-Out of Sale», d. h. das Recht zu verbieten, dass persönliche Daten verkauft werden — signalisierbar über GPC oder den «Do Not Sell My Personal Information»-Link. Beide Systeme haben dasselbe Ziel, unterscheiden sich aber in den Mechanismen und im Anwendungsbereich.