In dieser Vorschrift ist geregelt, dass der Arbeitgeber personenbezogene Daten seiner Mitarbeiter, die für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses bzw. zur Durchführung oder Beendigung dieses Verhältnisses, verarbeiten darf.

Für den Fall, dass keine gesetzliche Erlaubnis besteht, ist die Einholung einer Einwilligung des Betroffenen möglich. Die Anforderungen an eine datenschutzrechtliche Einwilligung ergeben sich aus Art. 7 DS-GVO. Hier wird normiert, dass der Betroffene das Recht hat, die Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Darauf ist er bei der Abgabe der Einwilligung hinzuweisen. Zudem besteht bzgl. der Einwilligung ein sogenanntes Koppelungsverbot. Wird für einen Vertrag oder eine Dienstleistung eine Einwilligung verlangt, die für die Erfüllung des Vertrages nicht erforderlich ist, so ist die Einwilligung im Zweifel als nicht freiwillig anzusehen. Die Nachweisbarkeit der Abgabe einer wirksamen Einwilligungserklärung ist durch das Unternehmen zu führen. Für die Einwilligungserklärungen von Kindern gelten besondere Bedingungen nach Art. 8 DS-GVO. Insbesondere müssen angemessene Anstrengungen unter Berücksichtigung der verfügbaren Technik unternommen werden, um sich zu vergewissern, dass die Einwilligung der Eltern für das Kind erteilt wurde.