Bei einer „rechtlichen Verpflichtung“ muss es sich nicht unbedingt um einen von einem nationalen Parlament, wie zB dem Nationalrat, angenommenen Gesetzgebungsakt handeln. Nach dem österreichischen Verständnis und angesichts der Öffnungsklausel in Art 6 Abs 2 und 3 DSGVO sowie ErwGr 41 ist der Begriff der „rechtlichen Verpflichtung“ weit zu verstehen. Somit kann es sich dabei um Verordnungen, Richtlinien und Satzungen bis hin zu individuellen Rechtsakten (Bescheidauflagen) und vereinbarte Verpflichtungen handeln. Erforderlich ist jedenfalls, dass sich diese auf eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Datenverarbeitung stützen.
