Eine Einwilligungserklärung für die Verarbeitung von Daten ist dann erforderlich, wenn keine andere Rechtsgrundlage die Datenverarbeitung legitimiert. Dies kann der Fall sein, wenn weder die Verarbeitung für die Vertragserfüllung noch aufgrund gesetzlicher Verpflichtungen notwendig ist oder wenn infolge einer Interessenabwägung die Interessen des Unternehmens die Interessen der betroffenen Person nicht überwiegen. Dies kann aber auch dann der Fall sein, wenn eine ausdrückliche Einwilligung gesetzlich gefordert ist, wie z.B. bei Verwendung von nicht notwendigen Cookies oder Tracking-Technologien oder bei Verwendung eines Abbildes einer Person. Besonders bei sensiblen Daten ist eine explizite Einwilligung notwendig. Eine Einwilligung darf nicht als Voraussetzung für die Erfüllung eines Vertrages dienen, es sei denn, sie ist für die Verarbeitung unbedingt erforderlich.
Die Einwilligung selbst muss klar, informiert und freiwillig erfolgen. Die betroffene Person muss über den Verantwortlichen, den genauen Verwendungszweck der Daten sowie ihr Recht auf Widerruf informiert werden. Der Widerruf sollte genauso einfach möglich sein wie die Erteilung der Einwilligung. Zudem muss die Einwilligung nachweisbar dokumentiert werden.