Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten kann davon abhängig sein, dass die betroffene Person in die Verarbeitung eingewilligt hat. Der Verantwortliche hat die Einwilligung nachzuweisen. Eine bestimmte Form ist in der DS-GVO nicht vorgesehen. Dies war im alten Datenschutzgesetz noch anders. Die Einwilligung kann demnach schriftlich, mündlich, konkludent oder auch durch technische Aufzeichnungen (z.B. Dokumentation des Klickverhaltens im Internet; nicht dagegen mittels voreingestellter Kästchen, sog. „Opt-out-Lösungen“) erfolgen. Allerdings wird im Allgemeinen die Schriftform empfohlen, um der Nachweispflicht gerecht werden zu können. Die Schriftform dürfte auch deswegen sinnvoll sein, da die Einwilligung für einen oder mehrere bestimmte Zwecke erteilt wird und sich auf diesem Wege die Zweckbindung am besten dokumentieren lässt.

Erfolgt die Einwilligung in Schriftform, dann muss sie in verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache erfolgen. Ferner muss sie sich von anderen Sachverhalten klar unterscheiden, wenn die Erklärung auch noch andere Sachverhalte betrifft.

Die Einwilligung hat stets freiwillig zu erfolgen und kann jederzeit widerrufen werden. Bis zum Widerruf bleibt die Datenverarbeitung allerdings rechtmäßig. Auf Verlangen ist die betroffene Person über die Folgen der Verweigerung der Einwilligung zu belehren.

ACHTUNG: Die betroffene Person muss vor Abgabe der Einwilligung auf die Möglichkeit des jederzeitigen Widerrufs und den Zweck der vorgesehenen Verarbeitung hingewiesen werden. Eine ohne diesen Hinweis abgegebene Einwilligung ist unwirksam und keine geeignete Grundlage für eine Datenverarbeitung. Die Datenverarbeitung ist dann unzulässig.

WICHTIG: Einwilligungen, die vor dem 25.05.2018 abgegeben wurden, behalten ihre Gültigkeit, wenn sie den Voraussetzungen der DS-GVO entsprechen, insbesondere die Zwecke benennen und den Hinweis auf die Möglichkeit des jederzeitigen Widerrufs enthalten.