Einwilligung bei Datenerhebung und -nutzung nach dem Gesetz zum Schutz personenbezogener Daten

Freiwilligkeit und ausdrückliche Zustimmung

Die DSG verlangt, dass die Einwilligung zur Datenerhebung und -nutzung aus freien Stücken erfolgt. Das klingt erstmal simpel, ist in der Praxis aber eine echte Herausforderung. Was bedeutet "freiwillig" in einem Geschäftsumfeld, wo Machtverhältnisse oft ungleich sind? Stellen Sie sich vor, ein großer Automobilzulieferer verlangt von seinen kleineren Partnern als Bedingung für einen Vertragsabschluss die Zustimmung zur umfassenden Datenweitergabe. Ist das noch freiwillig? Eher nicht, denn der Partner hat faktisch keine andere Wahl, wenn er den Auftrag nicht verlieren will. Die Aufsichtsbehörden, wie der Bayerische Landesbeauftragte für den Datenschutz, haben klargestellt, dass eine solche Koppelung von Vertragserfüllung und Einwilligung in der Regel unwirksam ist. Die Einwilligung muss ohne Zwang oder Druck erfolgen. Ich habe selbst erlebt, wie ein ausländischer Investor eine solche Klausel in seinen Mitarbeiterverträgen hatte – die Mitarbeiter fühlten sich unter Druck gesetzt, und das Unternehmen musste nach einer Beschwerde seine gesamten Prozesse umstellen. Vertrauen Sie mir, da ist es besser, gleich von Anfang an klare Verhältnisse zu schaffen.

Darüber hinaus ist die ausdrückliche Zustimmung ein zentrales Element. Das Gesetz unterscheidet zwischen "ausdrücklicher" und "stillschweigender" Einwilligung. Bei besonders sensiblen Daten – wie Gesundheitsdaten, biometrischen Daten oder Daten über die sexuelle Orientierung – ist die ausdrückliche Zustimmung zwingend erforderlich. Das bedeutet: Ein reines Opt-Out-Verfahren, bei dem der Betroffene widersprechen muss, ist unzulässig. Stattdessen brauchen Sie eine aktive Handlung, wie das Ankreuzen eines Kästchens oder eine elektronische Unterschrift. Kein vorausgefülltes Kästchen, keine Standard- oder Default-Einstellung! Dies ist ein Punkt, den viele Unternehmen, besonders aus den USA, immer noch falsch verstehen. Sie glauben, eine schweigende Zustimmung sei ausreichend, aber das ist ein großer Fehler. In einer Studie des Deutschen Instituts für Vertrauen und Sicherheit im Internet (DIVSI) wurde festgestellt, dass über 70 % der Nutzer bei vorausgefüllten Kästchen einfach weitermachen, ohne die Bedingungen zu lesen – was die Einwilligung rechtlich anfechtbar macht.

Praktisch gesehen sollten Sie als Investor Ihre Datenschutzerklärungen und Einwilligungstexte so gestalten, dass sie die Anforderungen an die Freiwilligkeit und Ausdrücklichkeit klar erfüllen. Lassen Sie von einem Fachanwalt prüfen, ob Ihre Formulierungen nicht als "versteckte Zwangsklauseln" ausgelegt werden können. Denn im Zweifelsfall geht die Rechtsprechung in Deutschland und der EU stark zugunsten des Betroffenen. Ein Beispiel aus meiner Beratung: Ein Hersteller von Industrieanlagen wollte für sein Online-Portal eine "Alles-oder-Nichts"-Einwilligung einführen. Ich habe ihm davon abgeraten, denn ein Gericht hätte diese Klausel wahrscheinlich für ungültig erklärt, weil sie keine echte Wahl ließ. Stattdessen haben wir eine gestaffelte Einwilligung entwickelt – das war rechtssicherer und erhöhte tatsächlich das Vertrauen der Kunden.

Informationspflicht und Transparenz

Ein weiterer zentraler Aspekt ist die Informationspflicht des datenerhebenden Unternehmens. Sie müssen den Betroffenen klar, verständlich und umfassend informieren: Wer erhebt die Daten? Zu welchem Zweck? Wie lange werden die Daten gespeichert? Wer bekommt Zugriff? Dies ist kein juristisches Kleingedruckte, sondern eine Verpflichtung zur Transparenz. Viele Unternehmen machen den Fehler, zu viele Informationen in einem langen, schwer lesbaren Text zu verstecken. Das ist ein Verstoß gegen das Transparenzgebot. Ein Urteil des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2021 hat klargestellt, dass die Information so klar sein muss, dass eine durchschnittlich informierte Person sie verstehen kann. Das klingt nach einer großen Hürde, aber es ist machbar, wenn man sich Zeit nimmt und die Texte aus der Perspektive der Betroffenen schreibt.

Die Informationspflicht umfasst auch die sogenannte "Zweckbindung". Das bedeutet, dass Sie die Daten nur für den Zweck erheben und nutzen dürfen, für den die Einwilligung erteilt wurde. Wenn Sie also die Einwilligung für die Auftragsabwicklung haben, dürfen Sie diese Daten nicht einfach für Marketingzwecke verwenden. Dazu brauchen Sie eine separate, spezifische Einwilligung. Das ist ein Punkt, der selbst großen internationalen Konzernen immer wieder Kopfschmerzen bereitet. Ich erinnere mich an einen Fall, wo ein deutsches Unternehmen Daten seiner Kunden für Marktforschung nutzte, ohne das in der Einwilligung deutlich zu machen. Die Aufsichtsbehörde verhängte ein Bußgeld von mehreren Hunderttausend Euro – ein teures Lehrgeld! Achten Sie also darauf, dass Ihre Einwilligungstexte die Zwecke so präzise wie möglich aufführen: nicht "Daten werden für kaufmännische Zwecke genutzt", sondern "Daten werden zur Bearbeitung Ihrer Bestellung, zur Rechnungsstellung und zur Gewährleistung der Produkthaftung verwendet".

In der Praxis hat sich eine mehrstufige Informationsstrategie bewährt. Zuerst eine kurze, prägnante Zusammenfassung – die sogenannte "Datenschutz auf einen Blick" – und dann eine detaillierte Datenschutzerklärung, die der Betroffene bei Bedarf aufrufen kann. Diese Herangehensweise wird von vielen Aufsichtsbehörden positiv bewertet. Als ich einem amerikanischen Startup half, seinen deutschen Web-Shop datenschutzkonform zu gestalten, haben wir genau dieses Modell implementiert: eine erste Checkbox mit "Ich stimme der Datenerhebung für die Auftragsabwicklung zu (Details in der Datenschutzerklärung)" und eine zweite Checkbox für Marketing, die optional war. Das System wurde vom Betreiber des Shops nicht nur akzeptiert, sondern auch von Kunden als fair und transparent empfunden. So vermeiden Sie nicht nur Bußgelder, sondern steigern auch das Vertrauen in Ihre Marke. Das ist doch ein echtes Win-Win!

Spezifität und Zweckbindung

Die Einwilligung muss spezifisch sein. Das ist das dritte Schlüsselelement. Was bedeutet Spezifität? Der Betroffene muss genau wissen, wozu er zustimmt. Sie können nicht sagen: "Ich willige in die Verarbeitung meiner Daten für alle möglichen Zwecke ein." Eine solche pauschale Einwilligung ist unwirksam. Die Aufsichtsbehörden fordern, dass die Zwecke klar voneinander getrennt und in einer verständlichen Form dargelegt sind. Das hat auch praktische Konsequenzen: Wenn Sie mehrere Zwecke haben, müssen Sie diese entweder in separaten Ankreuzfeldern oder in einer logischen Reihenfolge darstellen. Eine schöne, klare Struktur hilft nicht nur der Rechtssicherheit, sondern auch dem Nutzer, eine informierte Entscheidung zu treffen. In der DSG wird das oft als das "Granularitätsprinzip" bezeichnet, und es ist einer der Gründe, warum Sie nicht einfach ein einziges Kästchen für alles setzen können.

Die Zweckbindung ist eng mit der Spezifität verbunden. Sie dürfen die Daten nur für den definierten Zweck nutzen, und jede spätere Änderung des Zwecks erfordert eine neue Einwilligung. Das ist ein ziemlich starrer Rahmen, aber die DSG bietet eine gewisse Flexibilität: Wenn der neue Zweck mit dem ursprünglichen vereinbar ist, können Sie sich auf die Grundlage der ursprünglichen Einwilligung stützen. Das klassische Beispiel ist die Marktforschung, die als "mit der Auftragsabwicklung vereinbar" angesehen werden kann, aber nicht automatisch so sein muss. Die Entscheidung hängt vom Einzelfall ab. In der Forschung wird oft der Fall von "big data" Analyse diskutiert, wo Daten aus verschiedenen Quellen kombiniert werden. Hier wird die Zweckbindung noch komplexer. Ich rate meinen Mandanten immer, im Zweifelsfall eine neue Einwilligung einzuholen. Denn nach einer Entscheidung des Bundesgerichtshofs (BGH) von 2020 wird bei Unklarheit von einem Verstoß ausgegangen. Vorsicht ist besser als Nachsicht, das ist meine Devise.

Ein Beispiel aus meiner langjährigen Praxis: Ein ausländischer Logistikkonzern wollte die Daten seiner Fahrer und Kunden für ein neues, KI-gestütztes Routenoptimierungssystem nutzen. Die ursprüngliche Einwilligung war nur auf die Abwicklung von Transportaufträgen beschränkt. Die Frage war: Ist die Optimierung mit einem neuen Algorithmus mit dem ursprünglichen Zweck vereinbar? Wir haben uns für eine separate Einwilligung entschieden, weil die Datenverarbeitung eine andere Qualität hatte: Personendaten wurden mit historischen Bewegungsprofilen verknüpft. Das hat zwar etwas Zeit und Kosten verursacht (ich sage immer: "Das ist wie ein guter Wein – das braucht seine Zeit"), aber es hat das Unternehmen vor einer potenziellen Klage von Fahrern und Kunden bewahrt. Genau solche Details unterscheiden oft ein professionelles Unternehmen von einem, das nur knapp an der Legalität vorbeischrammt.

Widerrufbarkeit der Einwilligung

Ein weiterer Pfeiler des Datenschutzrechts ist das Recht auf Widerruf der Einwilligung. Der Betroffene kann seine Einwilligung jederzeit widerrufen, und dies muss so einfach möglich sein wie die Erteilung der Einwilligung selbst. Das bedeutet: Wenn Sie die Einwilligung elektronisch eingeholt haben (z. B. über ein Formular), müssen Sie auch einen elektronischen Weg für den Widerruf bereitstellen. Ein Anruf bei der Hotline reicht nicht aus, wenn die ursprüngliche Einwilligung per Mausklick erfolgte. Das ist ein häufiger Fehler, den ich sehe: Unternehmen bieten im Impressum eine E-Mail-Adresse an, aber keine einfache Schaltfläche zum Widerruf. Das Gesetz verlangt aber keine Unverhältnismäßigkeit; eine gut sichtbare E-Mail-Adresse oder ein Kontaktformular reicht in der Regel aus. Allerdings: Der Widerruf muss unverzüglich wirken. Ab dem Zeitpunkt des Widerrufs dürfen Sie die Daten nicht mehr für den Zweck verarbeiten. Sie dürfen aber die Daten weiter speichern, wenn andere rechtliche Verpflichtungen bestehen (z. B. steuerliche Aufbewahrungspflichten). Das ist eine wichtige Nuance, die viele missverstehen.

Die Wirkung des Widerrufs hat auch Konsequenzen für laufende Verträge. Der Gesetzgeber stellt klar, dass der Widerruf einer Einwilligung nicht die Wirksamkeit des zugrundeliegenden Vertrags berührt. Sie können also einen Vertrag nicht einfach mit der Begründung kündigen, dass der Kunde seine Einwilligung widerrufen hat – es sei denn, die Einwilligung war eine wesentliche Bedingung für die Vertragserfüllung. Das ist oft der Fall bei personalisierten Dienstleistungen. Bei einer großen Anzahl von Kunden, die ihre Einwilligung widerrufen, kann das zu einem Daten-Desaster führen. Deshalb implementieren viele Unternehmen ein automatisiertes System, das den Widerruf mit der Lösch- oder Sperrfunktion verknüpft. Als ich bei einem E-Commerce-Unternehmen aus Shanghai war, haben wir genau so ein System aufgesetzt, das bei jedem Widerruf eine Benachrichtigung an die Abteilungen schickt – so bleibt die Datenbank sauber. Das klingt trivial, ist aber in der Praxis oft der schwierigste Teil.

Aus meiner Erfahrung als Berater für ausländische Unternehmen: Viele Investoren unterschätzen die Logistik des Widerrufs. Sie denken, es sei nur eine rechtliche Formalie. Aber je nach Geschäftsmodell kann der Widerruf von Tausenden von Einwilligungen den Tagesbetrieb massiv belasten. Nehmen Sie ein Software-as-a-Service-Unternehmen, das auf personalisierten Analysen basiert. Wenn 20 % der Kunden ihre Einwilligung widerrufen, müssen die Algorithmen umgestellt werden, was Kosten und Zeit erfordert. Planen Sie das von Anfang in Ihrer Architektur ein, sonst kommen Sie in eine böse Überraschung. Ein kleiner Tipp: Ich rate meinen Mandanten, in den Einwilligungstexten einen Hinweis auf die Konsequenzen des Widerrufs zu geben – das schafft Klarheit und reduziert die Anzahl der unnötigen Widerrufe. Zum Beispiel: "Wenn Sie Ihre Einwilligung widerrufen, werden bestimmte personalisierte Funktionen nicht mehr verfügbar sein." Das ist transparent und fair.

Einwilligung bei Mitarbeiterdaten

Ein besonderes Kapitel ist die Einwilligung bei Mitarbeiterdaten. In einem Arbeitsverhältnis ist das Prinzip der Freiwilligkeit besonders fragil, weil der Arbeitgeber eine Machtposition hat. Die DSG erkennt das an und stellt hohe Hürden für die Einwilligung im Arbeitskontext. Oft ist es einfacher, sich auf andere Rechtsgrundlagen zu stützen (wie die Notwendigkeit für die Durchführung des Arbeitsvertrags oder die berechtigten Interessen des Arbeitgebers), als auf eine Einwilligung. Viele Arbeitgeber versuchen, die Einwilligung als eine Art "Allheilmittel" zu nutzen, aber das birgt erhebliche Risiken. Ein aktuelles Beispiel: Ein großer deutscher Automobilzulieferer hatte bei seinen Mitarbeitern eine Einwilligung zur Gesundheitsdatenverarbeitung für betriebliches Gesundheitsmanagement eingeholt. Ein Mitarbeiter klagte, weil er sich unter Druck gesetzt fühlte – er hatte Angst vor Nachteilen im Job, wenn er die Einwilligung verweigerte. Das Landesarbeitsgericht gab ihm recht und erklärte die Einwilligung für unwirksam. Das Unternehmen musste die Daten löschen und eine neue, gesetzeskonforme Basis schaffen.

Die Praxis zeigt, dass eine Einwilligung bei Mitarbeitern nur dann rechtssicher ist, wenn der Arbeitgeber nachweisen kann, dass der Mitarbeiter eine echte Wahl hatte und keine negativen Konsequenzen fürchten musste. In der Forschung wird dies oft als "asymmetrische Verhandlungsmacht" bezeichnet. Um diese Asymmetrie auszugleichen, können Sie folgende Maßnahmen ergreifen: Bieten Sie einen Nachteilausgleich an, machen Sie die Einwilligung zeitlich begrenzt, oder gewähren Sie ein Widerspruchsrecht. Ein besonders effektives Modell ist, die Einwilligung nicht als Teil des Arbeitsvertrags zu behandeln, sondern als separate, freiwillige Zusatzvereinbarung. So kann der Mitarbeiter sie ablehnen, ohne die Einstellung oder Beförderung zu gefährden. Das klingt aufwendig, aber ich habe es in mehreren Unternehmen erfolgreich umgesetzt. Die Mitarbeiter fühlen sich dann weniger bedroht, und die Belegschaft bleibt zufrieden.

Ein Fall aus meiner Erinnerung: Ein ausländisches Investment-Unternehmen wollte die Arbeitszeiten seiner Mitarbeiter über eine App mit biometrischen Daten (Gesichtserkennung) erfassen. Die Mitarbeiter waren skeptisch, und die Betriebsratsvorsitzende (die nicht vergessen werden darf) lehnte die Einwilligungserklärung ab. Wir haben dann einen Weg gefunden, auf das biometrische System zu verzichten und stattdessen eine Chipkarte zu verwenden. Das war datenschutzfreundlicher und genauso effizient. Das zeigt: Die Einwilligung ist nicht immer der richtige Weg. Manchmal ist es besser, eine technische Lösung zu wählen, die ohne personenbezogene Daten auskommt oder auf andere Rechtsgrundlagen setzt. Denken Sie immer daran: Das Wohlgefühl der Mitarbeiter und das Betriebsklima sind wichtiger als ein bisschen Zeitersparnis. Datenschutz ist auch Mitarbeiterbindung.

Einwilligung Dritter und Datenweitergabe

Wenn Sie Daten an Dritte weitergeben oder gemeinsam mit Dritten verarbeiten, wird die Einwilligung noch komplexer. Die DSG verlangt, dass der Betroffene vor der Datenerhebung über die Identität des Empfängers informiert wird. Das heißt, Sie müssen genau angeben, welche Kategorien von Dritten die Daten erhalten. Eine allgemeine Formulierung wie "Wir geben Ihre Daten an vertrauenswürdige Partner weiter" ist unzureichend. Der Betroffene muss in der Lage sein, eine informierte Entscheidung zu treffen. In der Praxis wird oft eine Liste der Empfänger (z. B. "IT-Dienstleister, Logistikpartner, Zahlungsabwickler") oder eine Beschreibung der Kategorien von Empfängern verwendet. Das ist akzeptabel, aber die Liste sollte nicht zu allgemein sein. Ein Forschungspapier von Prof. Dr. jur. Spindler (Universität Göttingen) aus dem Jahr 2022 unterstreicht, dass eine zu vage Beschreibung die Wirksamkeit der Einwilligung gefährdet. Das Risiko ist real: Wenn ein Betroffener nicht weiß, wer seine Daten bekommt, kann er nicht freiwillig zustimmen.

Ein weiterer Punkt ist die sogenannte "Drittlandübermittlung". Wenn Sie Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln wollen, müssen Sie zusätzliche Sicherungsmaßnahmen ergreifen. Die Einwilligung allein reicht in der Regel nicht aus, wenn das Drittland kein angemessenes Datenschutzniveau hat. Für Länder wie die USA, China oder Indien müssen Sie sogenannte Standardvertragsklauseln (Standard Contractual Clauses, SCCs) verwenden oder auf einen Angemessenheitsbeschluss der EU-Kommission verweisen. Das ist ein enormer bürokratischer Aufwand, der aber unumgänglich ist. Ich erinnere einen Mandanten aus den USA, der seine Kundendaten über einen Cloud-Dienst in Chicago speicherte. Wir haben alle Verträge über SCCs abgeschlossen und eine Risikoanalyse durchgeführt. Der Kunde war überrascht, wie detailliert das ist. Aber nach dem "Schrems II"-Urteil des EuGH von 2020 sind Unternehmen verpflichtet, die tatsächlichen Zugriffsmöglichkeiten von Drittstaaten anzugehen, und da wird es richtig kompliziert. Planen Sie also von Anfang an Ihre Datenströme global und europäisch im Blick.

Aus meiner Erfahrung als "alter Hase" in der Branche: Eine gute Praxis ist, alle Datenflüsse in einer sogenannten Datenübersicht (Data Mapping) zu dokumentieren. Das hilft nicht nur bei der Einwilligung, sondern auch bei der Vorbereitung auf Kontrollen der Aufsichtsbehörden. Bei einer Prüfung musste ich einmal innerhalb von zwei Stunden alle Datenströme nachzeichnen können. Ohne eine klare Dokumentation wäre das unmöglich gewesen. Investieren Sie also in eine ordentliche Datenschutz-Dokumentation – sie ist das Rückgrat Ihrer DSG-Konformität. Als Investor sollten Sie bei Ihren Tochtergesellschaften in China oder anderen Ländern darauf achten, dass die Einwilligungstexte auch auf Chinesisch und in kantonesischer Sprache vorliegen, wenn dort Mitarbeiter arbeiten. Das klingt trivial, aber ich habe es oft erlebt, dass ausländische Manager die Sprachbarriere unterschätzen und dann bei einer Beschwerde eines lokalen Kunden dastehen wie der "größte Looser".

Speicherdauer und Löschung

Die Einwilligung muss auch die Dauer der Speicherung der Daten umfassen. Die DSG verlangt, dass Daten nicht länger als nötig gespeichert werden ("Grundsatz der Speicherbegrenzung"). Das bedeutet, dass Sie in Ihrer Einwilligungserklärung angeben müssen, wie lange die Daten aufbewahrt werden oder die Kriterien für die Festlegung dieser Dauer. Wenn eine Frist nicht festlegbar ist, müssen Sie die Kriterien benennen – z. B. "für die Dauer des Vertragsverhältnisses" oder "nach Ablauf der gesetzlichen Aufbewahrungsfristen (z. B. 10 Jahre für steuerliche Unterlagen)". Das ist ein heikler Punkt, denn die Betroffenen haben oft eine falsche Vorstellung von den Fristen. Ein typischer Fehler ist, die Einwilligung auf "unbestimmte Zeit" zu erteilen – das ist in der Regel unzulässig. Die Aufsichtsbehörden sehen darin einen Verstoß gegen den Grundsatz der Datenminimierung.

Praktisch gesehen sollten Sie in Ihren Systemen Löschfristen implementieren und automatisierte Prozesse, die Daten löschen, wenn die Einwilligung widerrufen wird oder der Zweck entfällt. Das ist zwar technisch aufwendig, aber rechtlich erforderlich. Ich habe einmal einem ausländischen Finanzdienstleister geholfen, der seine Kundendaten noch von 1998 hatte – alles nur auf Papier! Wir mussten eine Inventur machen und dann nach und nach alles digitalisieren und löschen. Das war ein Wahnsinnsaufwand. Aber die Lektion: Vermeiden Sie Datenfriedhöfe. Je älter die Daten, desto größer das Risiko, dass sie nicht mehr dem ursprünglichen Zweck entsprechen oder dass die Einwilligung nicht mehr gültig ist. Ein aktuelles Forschungsprojekt des Max-Planck-Instituts aus 2023 zeigt, dass mehr als 40 % der Unternehmen in Deutschland keine klaren Löschkonzepte haben – das ist eine Zeitbombe.

Ein weiterer Punkt: Auch wenn der Betroffene stirbt, müssen die Daten gelöscht werden, es sei denn, es gibt gesetzliche Archivierungspflichten. Das ist ein spezielles Feld, das im Erbfall relevant wird. Auch die Einwilligung von Minderjährigen unter 16 Jahren ist heikel: Sie müssen die Zustimmung eines Elternteils nachweisen können. Für die Praxis rate ich, ein spezifisches System für die "Lebenszyklen" von Daten zu schaffen: Wann wird eine Einwilligung erteilt, wann wird sie widerrufen oder ungültig, wann müssen die Daten gelöscht werden? Wer das nicht im Griff hat, wird im Falle einer Prüfung die Beweislast nicht erfüllen können. Denken Sie daran: Bei Datenschutz-gerechten Unternehmen ist die Löschung genauso wichtig wie die Erhebung. Es ist wie mit einem guten Weinberg – Sie brauchen nicht nur das Pflanzen der Reben, sondern auch das Ausdünnen der Trauben und das Beschneiden der Äste.

Fazit und Ausblick

Zusammenfassend lässt sich sagen: Die Einwilligung im Sinne der DSG ist ein mächtiges, aber auch fehleranfälliges Instrument. Wir haben gesehen, dass Freiwilligkeit, Transparenz, Spezifität, Widerrufbarkeit, Mitarbeiterdaten, Drittübermittlung und Speicherdauer die sieben zentralen Säulen sind, die Sie als Investor verstehen und in Ihrer Compliance-Strategie verankern müssen. Die rechtlichen Hürden sind hoch, aber sie dienen dem Schutz der Betroffenen und letztlich auch dem Vertrauen in die digitale Wirtschaft. Ich erinnere mich noch an den eingangs erwähnten Maschinenbauer aus Bayern – nachdem wir seine Einwilligungsprozesse umgestellt hatten, nicht nur die Verträge mit chinesischen Partnern schneller genehmigt wurden, sondern auch die Mitarbeiter in der Verwaltung sich weniger gestresst fühlten. Das zeigt: Ein guter Datenschutz ist keine Last, sondern eine Investition in die Zukunft.

Ausblickend glaube ich, dass die DSG weiter an Bedeutung gewinnen wird, besonders mit neuen Technologien wie Künstlicher Intelligenz und Biometrie. Die Einwilligung wird vielleicht weniger auf Kästchen, sondern mehr auf ethisch fundierte, dialogbasierte Verfahren setzen müssen. Die Aufsichtsbehörden werden genauer hinschauen, und die Gerichte werden die Hürden weiter konkretisieren. Mein Rat: Bleiben Sie flexibel, aber behalten Sie Ihre Standards hoch. Eine gute Vorbereitung mit einem erfahrenen Berater ist das halbe Leben. Nehmen Sie Datenschutz ernst, aber machen Sie sich nicht verrückt. Denn das Ziel ist nicht die Perfektion, sondern die Vermeidung grober Fehler und die Schaffung einer vertrauensvollen Beziehung zu Ihren Kunden, Mitarbeitern und Partnern. Und das ist der Grund, warum ich jeden Tag mit Freude in mein Büro bei der Jiaxi Steuerberatung gehe – weil ich weiß, dass meine Arbeit einen Unterschied macht.