Eine Einwilligung ist eine Möglichkeit, zu einer rechtmäßigen Verarbeitung zu kommen. Allerdings hat die DSGVO dazu keine spezifischen Aussagen. Daher regelt § 26 Abs. 2 BDSG als spezifische Vorschrift die Einwilligung für den Beschäftigungsbereich.
Nach § 26 Abs. 2 Satz 1 muss eine Einwilligung freiwillig erklärt werden. Im Arbeitsverhältnis ist das nur in Ausnahmefällen denkbar, weil Beschäftigte in der Praxis von einer faktischen Verpflichtung zur Abgabe der Erklärung ausgehen und im Falle der Nichtabgabe drohende Nachteile für den Fortbestand des Arbeitsverhältnisses befürchten.
Der Gesetzestext geht in Abs. 2 von einer Freiwilligkeit aus, wenn für den Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen haben (§ 26 Abs. 2 BDSG).
Als Beispiele für o.g. Vorteile nennt die Gesetzesbegründung z.B. die Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung oder die Erlaubnis zur Privatnutzung betrieblicher IT-Systeme. Auch Einwilligungen im Zusammenhang mit der privaten Nutzung von dienstlichen Fahrzeugen sowie zur Datenverarbeitung als Voraussetzung für eine Zusatzleistung (z.B. Vergütungsprogramme) sollen möglich sein. Gleichgerichtete Interessen können vorliegen, wenn der Arbeitgeber eine Video- oder GPS-Überwachung zum Schutz vor Überfällen installiert (eine Erlaubnis könnte auch aus Art. 6 f DSGVO oder direkt aus § 26 BDSG abgeleitet werden). Nach der Rechtsprechung wurde die Einwilligung von zwei Lageristen in eine Videoüberwachung für wirksam gehalten, die der Arbeitgeber zur Aufklärung der Ursachen von Fehlbeständen vorgenommen hat; dies zeigt die Relevanz vor allem auch für Compliance-Sachverhalte, z.B. wenn Einwilligungen von Arbeitnehmern bei einer E-Mail-Untersuchung eingeholt werden. Wenn eine wirklich freie Wahl besteht, ist eine Einwilligung möglich.
Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist (§ 26 Abs. 2 BDSG).
Grundsätzlich gilt also das Schriftformerfordernis (vgl. § 126 BGB). Damit verschärft der Gesetzgeber die Anforderungen gegenüber der DSGVO, wonach elektronische Form oder gar mündliche Zustimmung ausreicht. Von der Schriftform kann wegen besonderer Umstände abgewichen werden. Solche besonderen Umstände können z.B. vorliegen, wenn sich ein Bewerber ausschließlich online bewirbt oder ein Beschäftigter überwiegend im Home-Office tätig ist.
Die Einwilligung muss eine transparente, leicht verständliche und einfache Formulierung haben (Transparenzerfordernis aus Art. 4 Nr. 11 DSGVO).
Betrifft die schriftliche Erklärung noch andere Sachverhalte – ist die Einwilligung also z.B. im Arbeitsvertrag enthalten –, so muss sie von jenen klar zu unterscheiden sein, also in der Darstellung räumlich getrennt. In der Praxis wird meistens mit separaten Einwilligungserklärungen als Anlage gearbeitet, die auch separat unterzeichnet werden.
Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Absatz 3 DSGVO in Textform aufzuklären.
Das Gesetz fordert eine umfassende Aufklärung des Beschäftigten über den Zweck der Datenverarbeitung und ein Hinweis auf das Widerrufsrecht. Wenn eine Einwilligung mehrere Zwecke erlauben, muss der betroffene Beschäftigte in jeden Zweck gesondert einwilligen können (Erwägungsgrund 43). Wird ein Beschäftigter über den Inhalt seiner Einwilligung falsch informiert, weil z.B. ein ganz anderer Zweck oder eine ganz andere Art der Datenerhebung angegeben wird, so ist diese Einwilligung unwirksam.
Wird die Einwilligung widerrufen, ist die bis dahin erfolgte Verarbeitung deswegen nicht rechtswidrig. Der Widerruf hat keine „Rückwirkung“.