Eine Kundin dreht an einem Samstagnachmittag ihre Runde durch ein Modegeschäft, bleibt an einer gebrandeten Fotostation nahe den Umkleiden stehen, macht mit zwei Freundinnen ein Bild und landet auf dem Bildschirm, der fragt, wohin es geschickt werden soll. Dieser Bildschirm ist die Einwilligungserklärung der Fotobox. Hier willigt eine Besucherin im Laden ein, fotografiert zu werden, und stimmt in einem getrennten Schritt zu, wieder von der Marke zu hören.
Die meisten Betreiber bauen diesen Bildschirm als ein einziges rechtliches Kästchen, kopiert aus einer Model-Freigabe, die ihnen ein Fotobox-Anbieter in die Hand gedrückt hat. Genau das ist der Fehler, den es zu korrigieren lohnt. Bei einer Retail-Aktivierung ist die Einwilligungserklärung kein Haftungsschild, das man an den Spaß anschraubt. Sie ist der Opt-in-Schritt eines Datenerfassungs-Funnels. Wie ihre Kästchen aufgeteilt sind, entscheidet über zwei Dinge auf einmal: ob die Einwilligung rechtlich Bestand hat und wie viel von der Laufkundschaft des Tages zu einer Kontaktliste wird, mit der die Marke tatsächlich etwas anfangen kann. Das gedankliche Modell der Besucherin ist ein fairer Tausch, ihr Foto gegen ihre Daten. Dieser Tausch trägt nur, wenn das Formular so gebaut ist, dass es ihn tragen kann.
Die drei Dokumente, die Betreiber „Einwilligungserklärung“ nennen
Suchen Sie nach „Einwilligungserklärung Fotobox“, und die Ergebnisse widersprechen sich. Einige sind Mietverträge. Einige sind Buchungsformulare. Ein oder zwei sind Model-Freigaben. Der Begriff deckt drei verschiedene Dokumente ab, und Betreiber setzen regelmäßig das falsche ein.
Der Miet- oder Buchungsvertrag
Das erste ist der Miet- oder Buchungsvertrag. Er besteht zwischen dem Fotobox-Anbieter und dem Veranstalter oder Markenkunden und regelt Gebühren, Liefertermine, Aufbau und die Haftung, falls die Technik ausfällt. Über die Besucherin sagt er nichts.
Die Model- oder Bildfreigabe
Das zweite ist die Model- oder Bildfreigabe. Sie räumt dem Betreiber das Recht ein, das Bild einer Person im eigenen Marketing zu verwenden, und schützt vor Ansprüchen aus dem Recht am eigenen Bild oder dem Persönlichkeitsrecht. Es geht um das Foto, nicht um die Kontaktaufnahme mit der Person.
Die Marketing-Einwilligung des Gastes, das Opt-in
Das dritte ist die Marketing-Einwilligung des Gastes, das Opt-in. Hier willigt die Besucherin ein, dass die Marke hinter der Aktivierung ihr später eine E-Mail oder SMS schicken darf. Es ist das einzige der drei, das eine vermarktbare Liste aufbaut.
Dieser Artikel handelt vom dritten Dokument, und davon, wie es zugleich das zweite mittragen sollte. Die Verwechslung ist auf ganz bestimmte Weise teuer. Ein Betreiber, der nur eine Model-Freigabe einsetzt, ist rechtlich abgesichert, das Foto zu nutzen, hat aber keine gültige Grundlage, um irgendjemanden anzuschreiben, der die Fotobox genutzt hat. Ein Betreiber, der E-Mail-Adressen unter einem Buchungsvertrag einsammelt, hat eine Tabelle voller Daten, an die überhaupt keine Einwilligung geknüpft ist. Das Formular im Laden muss zwei Aufgaben erfüllen, und ein einzelnes Kästchen kann nicht beide leisten.
Warum ein einzelnes „Ich stimme zu“-Kästchen gleich zweifach versagt
Die Standardeinrichtung der Fotobox ist ein Kästchen: „Ich stimme den Bedingungen zu und möchte mein Foto erhalten.“ Das wirkt effizient, weil fast jeder es ankreuzt. Es versagt an zwei Fronten zugleich.
Einwilligung
Es versagt rechtlich. Nach der DSGVO muss eine gültige Einwilligung spezifisch und ungebündelt sein, und die Einwilligung für einen Zweck darf nicht mit der Zustimmung zu etwas anderem verknüpft werden (Information Commissioner’s Office). Dieselbe Rechtsordnung kennt zudem ein Koppelungsverbot: Eine Leistung darf nicht von einer Einwilligung abhängig gemacht werden, die sie gar nicht benötigt. Die Zustellung eines Fotos verlangt keine Marketing-Erlaubnis, also darf eine Marke das Bild nicht zurückhalten, solange die Besucherin nicht in Marketing einwilligt. Ein Kästchen, das vorangekreuzt oder standardmäßig aktiviert ist, ist ebenfalls keine Einwilligung. Erwägungsgrund 32 der DSGVO wird da deutlich: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sollten daher keine Einwilligung darstellen.“ (GDPR.eu).
Marketing-SMS unterliegen wiederum einer eigenen Rechtsordnung. In den USA verlangt der Telephone Consumer Protection Act eine vorherige ausdrückliche schriftliche Einwilligung, bevor eine Werbe-SMS verschickt wird (Cornell Law, 47 CFR 64.1200), und „Ich habe zugestimmt, mein Foto zu bekommen“ deckt keine Werbe-SMS ab.
Es versagt außerdem kommerziell, was Betreiber schneller spüren als das rechtliche Risiko. Ein rechtliches Kästchen mit einer Textwand an der Fotobox drückt die Teilnahmequote. Unternehmensjuristen haben angemerkt, dass die Aufforderung an alle, eine Freigabe zu unterschreiben, „für viele Menschen oft abschreckend“ wirke (Association of Corporate Counsel, 2023). Schlimmer noch: Das gebündelte Kästchen erzeugt eine Liste, die niemand nutzen kann. Es lässt sich nicht auseinanderhalten, wer Marketing wollte und wer nur ein Foto, also ist der gesamte Export verdorben. Eine Ankreuzrate von 95 % bei einem ungültigen, undifferenzierten Kästchen ist weniger wert als eine Ankreuzrate von 45 % bei einem sauberen, spezifischen. Die erste Zahl ist Eitelkeit. Die zweite ist eine Liste.
Die vier Einwilligungen, die ein Fotobox-Formular trennen sollte
Eine Besucherin tritt aus der Fotobox, das Foto ist gemacht, und erreicht den Bildschirm. In den wenigen Sekunden, bevor sie auf „Senden“ tippt, willigt sie potenziell in vier getrennte Dinge ein, und die meisten Formulare fragen nur nach einem davon. Jedes hat eine andere Rechtsgrundlage, eine andere passende Voreinstellung und schützt eine andere Partei.
Der Einwilligungs-Ablauf
| Einwilligung | Was sie abdeckt | Korrekte Voreinstellung | Warum sie für sich steht |
|---|---|---|---|
| Bildaufnahme | Überhaupt fotografiert oder aufgezeichnet zu werden, plus die Nutzungsrechte, die eine Model-Freigabe gewährt | Oft durch klare Beschilderung plus das Betreten abgedeckt | Es geht um das Bild, nicht um die Kontaktaufnahme; Beschilderung kann sie tragen, ein Opt-in nicht |
| Öffentliche Anzeige / Galerie | Das Foto auf einer Live-Galeriewand, einer Microsite oder den Social-Media-Kanälen der Marke | Getrennt, Opt-in, nicht angekreuzt | Anzeige ist eine andere Nutzung als Zustellung; eine Besucherin will das Foto vielleicht, ohne es auf einem Bildschirm zu wollen |
| E-Mail-Marketing | Die Marke schreibt der Besucherin nach der Aktivierung eine E-Mail | Eigenes Kästchen, nicht angekreuzt, nennt den Absender | Ein anderer Zweck nach DSGVO, daher verlangt die Spezifität ein eigenes Häkchen |
| SMS-Marketing | Werbe-SMS der Marke | Eigenes Kästchen, nicht angekreuzt, mit eigenem Text zur ausdrücklichen Einwilligung | Der TCPA-Standard ist strenger als der für E-Mail; eine SMS-Einwilligung kann nicht geerbt werden |
Eines steht bewusst nicht auf dieser Liste: die Zustellung des Fotos selbst. Wenn eine Besucherin eine E-Mail-Adresse oder Telefonnummer eingibt, um das Bild zu erhalten, ist das eine konkludente Einwilligung für die Zustellung, und nur für die Zustellung. Das Foto einmal zu senden, ist die Leistung. Sie darf niemals an eine der vier Einwilligungen oben geknüpft werden, und sie darf niemals stillschweigend als Erlaubnis für das nachfolgende Marketing behandelt werden.
Genau hier scheitern Standardvorlagen. Gängige Foto-Einwilligungsformulare gewähren die Erlaubnis für Bild und Anzeige, lassen die Opt-in-Felder für E-Mail und SMS aber ganz weg (Pembee, 2023). Ein Betreiber, der eine solche Vorlage übernimmt, hat das Foto abgedeckt und nichts Vermarktbares erfasst. Genau die Trennung ist der Punkt: Wenn jeder Kontakt im Export seine eigenen Markierungen für Bild, Galerie, E-Mail und SMS trägt, kann die Marke jede Person genau in dem Umfang bewerben, dem sie zugestimmt hat. Bündeln Sie die vier, wird der Export zu einem einzigen undifferenzierten Klumpen, an den keine E-Mail- oder SMS-Plattform gefahrlos senden kann.
Was jede Einwilligung rechtlich gültig macht
Stellen Sie sich eine Fotobox vor, deren Formular bereits ein sauberes, getrenntes, nicht angekreuztes E-Mail-Kästchen hat. Der Text daneben lautet: „Ankreuzen, um von uns und ausgewählten Partnern über künftige Angebote zu hören.“ Das Kästchen ist korrekt getrennt. Die Einwilligung ist trotzdem ungültig, weil sie nicht spezifisch ist: Eine Besucherin kann nicht in eine Liste ungenannter Partner einwilligen. Ein getrenntes Kästchen ist notwendig. Es ist nicht hinreichend. Jedes Kästchen muss noch fünf Prüfungen bestehen.
Freiwillig
Die Fotozustellung darf nicht an ein Marketing-Opt-in geknüpft sein. Muss die Besucherin E-Mails akzeptieren, um das Bild zu bekommen, ist die Einwilligung nichtig.
Spezifisch
Das Kästchen muss die Marke nennen, die Kontakt aufnimmt, und was sie senden wird. „Unsere Partner“ oder „ausgewählte Dritte“ reicht nicht. Eine Besucherin, die einwilligt, von einer namentlich genannten Marke zu hören, hat nicht in einen Adresshändler eingewilligt.
Informiert
Im Moment des Ankreuzens nennt das Formular in klarer Sprache, wer die Daten erhebt, warum, und wie man widerruft. Eine vergrabene Datenschutzerklärung informiert niemanden.
Unmissverständlich
Einwilligung ist eine bestätigende Handlung. Kästchen beginnen unangekreuzt. Keine vorangekreuzten Kästchen, keine Opt-out-Logik, kein „Mit dem Fortfahren stimmen Sie zu“.
Dokumentiert
Speichern Sie den Zeitstempel, den genauen Wortlaut auf dem Bildschirm und was angekreuzt wurde. Dieser Nachweis ist es, der eine Prüfung, eine Anfrage des Markenkunden oder eine Beschwerde übersteht. Eine Einwilligung, die der Betreiber nicht reproduzieren kann, ist praktisch eine Einwilligung, die nie stattgefunden hat.
Die Rechtsräume unterscheiden sich, und ein Betreiber mit mehreren Standorten sollte die Spannbreite kennen, ohne darin unterzugehen. Die DSGVO in EU und UK ist die strenge Opt-in-Grundlinie. Der US-amerikanische TCPA regelt speziell Marketing-SMS, mit gesetzlichem Schadensersatz von 500 $ je Nachricht und bis zu 1.500 $ bei einem vorsätzlichen Verstoß (Cornell Law, 47 USC 227). Kaliforniens CCPA und CPRA tendieren bei E-Mail zum Opt-out, verlangen aber dennoch einen klaren Hinweis im Moment der Erhebung (California Attorney General). Bauen Sie das Formular einmal nach dem strengsten dieser Standards, getrennt, nicht angekreuzt, spezifisch und protokolliert, und derselbe Bildschirm besteht in jedem Markt, in dem eine Marke tätig ist. (Eine Entwicklung zum Beobachten: Eine strengere FCC-Regel zur „Eins-zu-eins-Einwilligung“ sollte in Kraft treten, wurde aber im Januar 2025 vom Eleventh Circuit im Verfahren Insurance Marketing Coalition Ltd. v. FCC aufgehoben. Die grundlegende Anforderung einer vorherigen ausdrücklichen schriftlichen Einwilligung vor einer Werbe-SMS bleibt unverändert.)
Die Opt-in-Rechnung: Was Formulargestaltung einbringt oder kostet
An der Weggabelung der Formulargestaltung hängt eine Zahl. Nehmen Sie eine regionale Modemarke, die eine zweitägige Foto-Aktivierung in einem Flagship-Store durchführt. Rund 800 Menschen passieren die Aktivierungszone über das Wochenende. Siebzig Prozent von ihnen machen ein Foto, das sind 560 Foto-Sessions. Ab hier trennen sich die beiden Formulargestaltungen.
Gebündelte vs. granulare Einwilligung
Das gebündelte Formular erzielt eine Ankreuzrate von fast 95 %, also landen rund 530 „Zustimmungen“ im Export. Schlagzeilenzahl: 530. Rechtlich nutzbare Marketing-Kontakte: null. Die Marke kann nicht belegen, wer eine spezifische, ungebündelte Einwilligung zu E-Mail oder SMS gegeben hat, weil das Kästchen nie getrennt gefragt hat. Eine E-Mail-Plattform, die diese Liste einliest und an sie sendet, provoziert Spam-Beschwerden, und die Beschwerden verschlechtern die Zustellbarkeit für jeden künftigen Versand.
Das granulare Formular setzt ein getrenntes, nicht angekreuztes E-Mail-Kästchen auf den Zustellungsbildschirm. Angenommen, 45 % der 560 Sessions kreuzen es an. Diese Zahl muss der Betreiber selbst messen, sie ist kein veröffentlichter Richtwert, aber sie steht hier stellvertretend: 45 % ergeben 252 dokumentierte, segmentierbare, rechtlich nutzbare E-Mail-Kontakte, jeder mit dem Nachweis dessen, wozu er zugestimmt hat. Zwei Spalten also. Gebündelt: 530 Zustimmungen, 0 nutzbare Kontakte. Granular: 252 Zustimmungen, 252 nutzbare Kontakte. „Alle haben zugestimmt“ erweist sich als das schlechtere Ergebnis.
Der Wert dieser 252 hängt vom E-Mail-Programm der Marke selbst ab. Branchenübliche E-Mail-Erträge liegen meist zwischen 10 und 36 € je ausgegebenem Euro (Litmus, 2025), und segmentierte Aussendungen an eine solche Liste schlagen Massenversände, mit rund 30 % mehr Öffnungen als unsegmentierte Kampagnen (HubSpot, 2025). Das getrennte SMS-Kästchen, sauber erfasst, öffnet einen zweiten Kanal, dessen berichtete Marketing-Erträge sogar noch höher liegen als die von E-Mail (Omnisend, 2025). Der Hebel ist klein und günstig: Ein paar Worte klarere Mikrotexte und eine bessere Platzierung können die Opt-in-Rate heben, und über eine Kette von Standorten summiert sich schon eine bescheidene Steigerung zum Unterschied zwischen einer Aktivierung, die sich selbst trägt, und einer, die es nicht tut.
Das Formular so gestalten, dass es sich wie Fotozustellung liest, nicht wie ein Vertrag
Eine Besucherin, die gerade ein lustiges Foto gemacht hat, und eine Besucherin vor einem juristischen Formular sind in zwei verschiedenen Stimmungen. Die Aufgabe des Formulars ist es, die erste Stimmung zu bewahren und trotzdem eine gültige Einwilligung einzuholen.
Die Platzierung leistet den Großteil dieser Arbeit
Die Platzierung leistet den Großteil dieser Arbeit. Holen Sie die Einwilligung auf dem Zustellungsbildschirm ein, nachdem das Foto gemacht wurde, wenn die Besucherin bereits etwas will. Der Bildschirm fragt „Wohin dürfen wir das schicken?“, während die Marketing-Kästchen unauffällig unter den Feldern für E-Mail und Telefon sitzen. Das liest sich als Zustellungsschritt. Ein Vertrag, der vor dem Foto als Eintrittsschranke präsentiert wird, liest sich als rechtliche Hürde und dünnt die Teilnahme aus.
Die Mikrotexte tragen den Rest
Die Mikrotexte tragen den Rest. Eine kurze Zeile pro Einwilligung, in klarer Sprache, mit dem Namen der Marke und einem sichtbaren Weg zum Widerruf. Keine Wand aus Rechtstext auf dem Bildschirm selbst; verlinken Sie auf die vollständige Richtlinie für die wenigen, die sie wollen. Das Erlebnis auf dem Bildschirm sollte in den fünf Sekunden lesbar sein, die eine Besucherin ihm tatsächlich gibt.
Digital schlägt Papier hier aus einem strukturellen Grund. Ein Tablet-Kästchen versieht sich selbst mit Zeitstempel und Protokoll, und der Export lässt sich sauber segmentieren. Eine Papierfreigabe liegt in einer Kiste und lässt sich gar nicht segmentieren. Für eine Franchise- oder Multi-Standort-Marke bedeutet ein einziges konfiguriertes, an jedem Standort identisch ausgerolltes Formular einen verteidigungsfähigen Standard und einen sauberen kombinierten Export, statt dass jeder Standort seinen eigenen Wortlaut improvisiert. Die HALO-App von Simple Booth ist eine Tablet-Variante dieser Einrichtung: Ein Betreiber konfiguriert die Datenfelder und Kästchen einmal und exportiert jede Session als segmentierbare Zeile. Die Entertainment-Kette Treetop Golf nutzte diese Lead-Erfassung über ihre Standorte hinweg, um eine Liste von 150.000 einzigartigen E-Mail-Adressen aufzubauen.
Eine Falle verdient eine klare Warnung
Eine Falle verdient eine klare Warnung. Wenn ein Markenkunde oder eine Location dem Betreiber eine Teilnehmerliste übergibt, ist das keine vom Betreiber eingeholte Einwilligung, und sie darf nicht so vermarktet werden, als wäre sie es. Der Kontakt hat dem Veranstalter eine Adresse gegeben, nicht der Marke des Betreibers. Die Einwilligung muss mit den Daten mitreisen: Jede Exportzeile sollte pro Kontakt Markierungen für Bild, Galerie, E-Mail und SMS tragen, damit derjenige, dem die Liste als Nächstes gehört, genau weiß, wozu jede Person zugestimmt hat, und es beweisen kann.
Häufig gestellte Fragen
Reicht ein gut sichtbares Schild „Hier wird fotografiert“ aus, oder brauche ich trotzdem eine Einwilligungserklärung? Ein Schild kann die Bildaufnahme in vielen Situationen abdecken, und Unternehmensjuristen behandeln gut sichtbare Beschilderung als sinnvollen Ansatz für das Fotografieren von Menschen (Association of Corporate Counsel, 2023). Aber ein Schild ist niemals die Einwilligung, jemandem Werbung zu schicken. Sie brauchen weiterhin ein ausdrückliches, getrenntes Opt-in, bevor Sie einer Besucherin eine E-Mail oder SMS senden.
Reicht ein einzelnes „Ich stimme den Bedingungen zu“-Kästchen aus? Nein. Gebündelte Einwilligung ist für Marketing nach der DSGVO nicht gültig, weil jeder Zweck sein eigenes spezifisches Häkchen braucht. Marketing-SMS brauchen nach dem TCPA wiederum eine eigene Einwilligung. Ein gebündeltes Kästchen zerstört außerdem Ihre Fähigkeit zu segmentieren, sodass Sie nicht sagen können, wer tatsächlich von Ihnen hören möchte.
Darf ich ein Marketing-Opt-in verlangen, bevor ich jemandem sein Foto sende? Nein. Einwilligung muss freiwillig sein, und eine Leistung darf nicht von einer Einwilligung abhängig gemacht werden, die sie nicht benötigt. Die Zustellung des Fotos ist die Leistung; Marketing ist etwas Getrenntes. Wenn Sie das Foto zurückhalten, bis jemand in Marketing einwilligt, ist die Einwilligung nichtig.
Zählt es als Marketing-Einwilligung, wenn ich jemandem sein Foto per SMS schicke? Nein. Das Foto einmal zu senden, ist eine konkludente Einwilligung nur für diese Zustellung. Eine Werbe-SMS danach braucht nach dem TCPA eine getrennte vorherige ausdrückliche schriftliche Einwilligung, wobei der gesetzliche Schadensersatz von 500 $ bis 1.500 $ je Nachricht reicht.
Wie lange sollte ich Einwilligungsnachweise aufbewahren, und was sollten sie enthalten? Bewahren Sie sie so lange auf, wie Sie den Kontakt bewerben, im Einklang mit Ihrer Aufbewahrungsrichtlinie. Ein brauchbarer Nachweis enthält den Zeitstempel, den genauen Einwilligungswortlaut auf dem Bildschirm und welche Kästchen angekreuzt wurden. Wenn Sie ihn nicht reproduzieren können, können Sie sich nicht darauf verlassen.
Ich bin nur in den USA tätig. Gilt die DSGVO für mich? Die DSGVO gilt, wenn Sie Daten von Besuchern aus der EU oder dem UK verarbeiten, unabhängig davon, wo Sie ansässig sind. Selbst wenn nicht, binden Sie US-Regeln weiterhin: Der TCPA regelt Marketing-SMS landesweit, und Gesetze einzelner Bundesstaaten wie Kaliforniens CCPA und CPRA verlangen einen klaren Hinweis bei der Erhebung. Bauen Sie nach dem strengsten Standard, und Sie decken sie alle ab.
Quellen
- Information Commissioner’s Office (n.d.). “What is valid consent?” UK GDPR Guidance and Resources. https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/consent/what-is-valid-consent/
- GDPR.eu (n.d.). “GDPR Consent Requirements.” https://gdpr.eu/gdpr-consent-requirements/
- Association of Corporate Counsel (2023). “Consent for Photos Taken at a Company Event.” https://www.acc.com/resource-library/consent-photos-taken-company-event
- Cornell Law School, Legal Information Institute (n.d.). “47 U.S. Code § 227 — Restrictions on use of telephone equipment.” https://www.law.cornell.edu/uscode/text/47/227
- Cornell Law School, Legal Information Institute (n.d.). “47 CFR § 64.1200 — Delivery restrictions.” https://www.law.cornell.edu/cfr/text/47/64.1200
- California Office of the Attorney General (2024). “California Consumer Privacy Act (CCPA).” https://oag.ca.gov/privacy/ccpa
- Pembee (2023). “Photo Consent Forms for Activity Organizers.” https://pembee.app/blog/photo-consent-forms-for-activity-organizers
- Litmus (2025). “Email Marketing ROI: What Every Marketer Needs to Know.” https://www.litmus.com/blog/email-marketing-roi
- HubSpot (2025). “Marketing Statistics.” https://www.hubspot.com/marketing-statistics
- Omnisend (2025). “SMS Marketing Statistics.” https://www.omnisend.com/blog/sms-marketing-statistics/
- United States Court of Appeals for the Eleventh Circuit (2025). Insurance Marketing Coalition Ltd. v. FCC, No. 24-10277, January 2025.