Die GVO (E) ist in den konzeptionellen Teilen, also v.a. Kap. II., weitgehend identisch mit der Datenschutzrichtlinie, die wiederum konzeptionell aus den 80iger Jahren stammt, auch wenn sie 1995 verabschiedet wurde. Die GVO stellt kein „neues“ Datenschutzrecht her, sondern „verbessert“ die DS-RL.
Als Folge ist klar, dass beide das Verbotsprinzip enthalten, was sich leicht überlesen läßt. Das Verbotsprinzip manifestiert sich in einem Wort, nämlich „nur“. Art. 6 GVO besagt in Abs. 1: „Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: …“ D.h., dass also grundsätzlich das Verbotsprinzip gilt, Ausnahmen, die dann folgen, die Verarbeitung personenbezogener Daten erlauben. Eine Ausnahme ist die Einwilligung: „Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben.“ (Art. 6 Abs. 1 a) GVO (E)). Allein schon aus der Stellung innerhalb der Regeln in Art. 6, der überschrieben ist mit „Rechtmäßigkeit der Verarbeitung“, aber auch aus einem Vergleich mit den folgenden weiteren Ausnahmen wird klar, dass die Einwilligung eine ganz wesentliche Säule des Datenschutzes sein muss. Das Verbotsprinzip wäre, wenn die Ausnahmen zu eng sind, unhaltbar. Es würde Kommunikations- und Meinungsäußerungsfreiheit im Geltungsbereich der GVO weitgehend aufheben.

Hinzu kommt, dass die Kommission der Selbstbestimmung einen hohen Rang einräumen will. Dies wird auch in den Kommentaren zum GVO (E) hervorgehoben, s. z.B. Frühjahrskonferenz der Europäischen Datenschutzbeauftragten, 3. und 4. Mai 2012.

Die Beteiligung des Betroffenen über die Einwilligung zu bewirken, vielleicht sogar zu stärken, ist aber in der GVO nicht vorgesehen. Das Gegenteil ist der Fall. Art. 7 Abs. 4 nimmt der Einwilligung jede Bedeutung in der Praxis wieder weg. Das Verbotsprinzip wird dadurch wesentlich verstärkt und ist infolge dessen so nicht haltbar: Art. 7 Abs. 4 besagt, dass die Einwilligung keine Rechtsgrundlage für die Verarbeitung bietet, „wenn zwischen der Position der betroffenen Person und des für die Verarbeitung Verantwortlichen ein erhebliches Ungleichgewicht besteht.“
Es sind kaum Situationen im Alltag denkbar, wo nicht der Einzelne als „User“, Kunde, Mitarbeiter, Versicherungskunde, Bankkunde u.ä. einem „übermächtigen“ Anbieter gegenüber steht. Das Ungleichgewicht ist typisch. D.h., die Einwilligungsregelung in Art. 7 Abs. 4 entzieht der Einwilligung ihre Wirkung für die typische Konstellation. Nicht einmal in Deutschland, wo das Problem v.a. unter AGB-Aspekten diskutiert wird, inwieweit es wirksame Einwilligungen gibt, ist das Regelungsdefizit derartig stark.

Um es deutlich zu sagen: Die Einwilligung ist gemäß der GVO nicht mehr als ein taugliches Mittel für die Zulässigkeit der Datenverarbeitung anzusehen. Art. 6 erzeugt nur einen Schein, der einer Prüfung nicht standhält. Damit kommt den übrigen Zulässigkeitstatbeständen in Art. 6 besondere Bedeutung zu. Da diese auch, notwendig, restriktiv sind, erscheint die Reichweite des Verbotsprinzips als wesentlich zu weit.

Es versteht sich, dass es Einwilligungen gegenüber öffentlichen Stellen praktisch nicht mehr wirksam geben werden könnte.

Wichtig ist noch, zu berücksichtigen und sich klar zu machen, dass selbst dann, wenn die Einwilligung wirksam wäre, sie nicht konkludent gegeben werden kann. Auch das widerspricht der Praxis, insbes. den Gepflogenheiten, dass sich der Einzelne in Netzwerken u.ä. „einträgt“ und dort Willensbekundungen sehr wohl wissentlich und gezielt abgibt, für die er dann aber noch eine gesonderte Einwilligung geben müsste, wenn man der bisherigen Regelung (unabhängig von dem Entzug der Wirkung nach Art. 7 Abs. 4) folgen würde.