Die Verarbeitung von personenbezogenen Daten ist grundsätzlich verboten. Die DSGVO erlaubt eine solche nur, wenn die Verarbeitung zwei Voraussetzungen erfüllt: (i) die Einhaltung der Grundsätze für die Datenverarbeitung (Art 5 DSGVO) und (ii) das Vorliegen zumindest eines Erlaubnistatbestandes (Art 6 bzw 9 DSGVO). Die wichtigsten Erlaubnistatbestände sind die Einwilligung der betroffenen Person, die Vertragserfüllung und die berechtigten Interessen des Verantwortlichen. Für bestimmte Arten von personenbezogenen Daten bestehen Sonderregelungen (zB strafrechtsbezogene Daten).