Im Datenschutzrecht stellt die Einwilligung eine von sechs möglichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten dar. Zu beachten gilt es dabei Folgendes:

Eine Einwilligung ist immer nur zweckgebunden gültig, ändert sich der Zweck der Verarbeitung, so ist eine weitere Einwilligung einzuholen oder eine der anderen Rechtsgrundlagen für die Verarbeitung heranzuziehen.

Beispiel: Ein Arbeitgeber holt sich vom Arbeitnehmer eine Einwilligung zur Verwendung von Mitarbeiterfotos auf der Firmenwebseite ein. Nur diese Verwendung ist durch die Einwilligung abgedeckt. Der Arbeitgeber kann die Mitarbeiterfotos nicht zur Verwendung in Social-Media-Profilen oder zur Veröffentlichung in der Presse verwenden.

Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden. Dies hat zur Folge, dass die Verarbeitung so wie bisher nicht mehr möglich ist und eine andere Rechtsgrundlage herangezogen werden muss.

Beispiel: Widerruft ein Mitarbeiter seine Einwilligung zur Verwendung der Mitarbeiterfotos, so liegt keine Rechtsgrundlage mehr für die Datenverarbeitung vor und die Verarbeitung ist ab diesem Zeitpunkt einzustellen. Der Arbeitnehmer hat das Foto also erst einmal von der Firmenwebseite zu entfernen.

Einwilligung wie auch Widerruf müssen im selben Maße möglich sein.

Beispiel: In einem Cookie-Banner muss das Ablehnen von zustimmungspflichtigen Cookies genauso einfach möglich sein wie die Einwilligung. Das bedeutet, dass die Buttons in selber Weise, mit derselben Anzahl von Klicks einfach auffindbar und gleich ausgestaltet sein sollten.

Einwilligungen besitzen nur dann Gültigkeit, wenn sie freiwillig abgegeben werden. Den Betroffenen dürfen durch die Verweigerung einer Einwilligung keine Nachteile entstehen. Dies gilt es vor allem im Rahmen von vertraglichen Verhältnissen oder Dienstleistungserbringungen zu berücksichtigen. 

Beispiel: Nicht in allen Fällen von Einwilligungen kann tatsächliche Freiwilligkeit gewährleistet werden. Als bestes Beispiel dient die Verwendung von Bild- oder Videomaterial von Auszubildenden auf Basis einer Einwilligung für Werbezwecke. Hier kann man von einem Machtgefälle zwischen Arbeitgeber und Auszubildenden ausgehen, welches die Auszubildenden in ihrer Entscheidung beeinflussen könnte.

Betroffene Personen müssen vor Abgabe ihrer Einwilligung die erforderlichen Informationen zur Verarbeitung ihrer Daten zur Verfügung gestellt bekommen, um eine informierte Einwilligung abgeben zu können und sich des Umfangs der Datenverarbeitung vor der Einwilligung bewusst zu sein.

Beispiel: Auf einer Webseite in einem Cookie-Banner, in dem eine Einwilligung für zustimmungspflichtige Cookies oder Dienste abgefragt wird, sollten daher bereits auf der ersten Ebene – also ohne weitere Klicks der NutzerInnen zugänglich – grundsätzliche Informationen zu den jeweiligen einwilligungspflichtigen Cookies und den damit verbundenen Datenverarbeitungen ersichtlich sein.

Einwilligungen von Kindern sind in der EU-Datenschutzgrundverordnung mit Bezug auf „Dienste der Informationsgesellschaft“ geregelt. Eine rechtmäßige Einwilligung liegt hier bei dem beendeten sechzehnten Lebensjahr eines Kindes vor. Bis zu diesem Zeitpunkt muss die Einwilligung vom „Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt“ werden.