Die Datenschutz-Grundverordnung (DSGVO) ist ein verbindlicher Rechtsakt der Europäischen Union, den die Mitgliedsstaaten unmittelbar anzuwenden haben. Dieser wurde zudem in das EWR‑Abkommen übernommen. Somit gelten beim Datenschutz im gesamten europäischen Wirtschaftsraum auf dem Papier die gleichen Spielregeln.
Dennoch kann es erforderlich sein, das angestrebte Ziel der Datenverarbeitung noch einmal zu prüfen. Denn die DSGVO enthält eine Vielzahl von Öffnungsklauseln beziehungsweise Konkretisierungsklauseln. Diese erlauben es den nationalen Gesetzgebern in bestimmten Sachverhalten, abweichende Regelungen zu treffen. Mehr und mehr europäische Staaten haben von dieser Möglichkeit Gebrauch gemacht. Hierdurch entstehen wieder nationale Unterschiede bei den Anforderungen an eine rechtskonforme Verarbeitung von Daten für Unternehmen. Weite Spielräume lässt die DSGVO etwa bei der Datenverarbeitung im Beschäftigtenverhältnis oder der Verarbeitung von besonderen Kategorien personenbezogener Daten zu.
In Deutschland kann im Datenschutz beispielsweise die Verarbeitung eines Datensatzes inklusive Angaben zur Gewerkschaftszugehörigkeit durch die Einwilligung des Betroffenen im Unternehmen zulässig sein. Werden diese Daten im Bereich internationaler Datenschutz an einen Datenimporteur in Spanien übermittelt, der diese Daten für eigene Zwecke verarbeitet, gilt die Feststellung, dass dort prinzipiell ein angemessenes Niveau im Datenschutz besteht. Das spanische nationale Datenschutzgesetz sieht jedoch weitere Beschränkungen für die Verarbeitung besonderer Kategorien personenbezogener Daten vor. Daten aus denen die rassische und ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit, religiöse Überzeugungen oder sexuelle Orientierung hervorgehen, können hier nicht alleine aufgrund einer Einwilligung des Betroffenen verarbeitet werden.