Das deutsche (und europäische) Datenschutzrecht basiert auf dem Konzept der informationellen Selbstbestimmung. Daher ist fast jede Datenverarbeitung zulässig, wenn die Betroffenen darin eingewilligt und so ihr Selbstbestimmungsrecht ausgeübt haben. Die Einwilligung ist allerdings nur wirksam, wenn sie informiert und freiwillig erfolgt. Gerade Einwilligungen, die Arbeitnehmer in Bezug auf die Verarbeitung ihrer Daten durch ihren Arbeitgeber abgeben, werden oft mangels Freiwilligkeit als unwirksam angesehen. Für die Verarbeitung von Mitarbeiterdaten steht die Einwilligung als Rechtfertigungsgrund daher nur sehr eingeschränkt zur Verfügung. Was die Form der Einwilligung angeht, sieht das BDSG grundsätzlich Schriftform vor, lässt aber bei „besonderen Umständen“ auch andere – z.B. elektronische, mündliche oder konkludente – Einwilligungen zu (§ 4a Abs. 1 S. 2 BDSG). Wie so oft ist das Bundesdatenschutzgesetz hier sehr offen formuliert, so dass Unternehmen im Zweifel fachlichen Rat einholen sollten, ob ein Abweichen von der Schriftform im konkreten Fall zulässig ist.