Als wesentliche Rechtsgrundlage einer Verarbeitung bleibt das bereits aus dem NDSG bekannte "Verbot mit Erlaubnisvorbehalt" im Grundsatz bestehen, wonach jede Verarbeitung personenbezogener Daten verboten ist, sofern sie nicht ausdrücklich erlaubt ist. Die Verarbeitung von personenbezogenen Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist (s. Art. 6 Abs. 1 EU-DSGVO):
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben
(s. hierzu Art. 7 Abs. 1 EU-DSGVO);
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt (Das Niedersächsische Datenschutzgesetz (NDSG) sieht in § 3 "Zulässigkeit der Verarbeitung personenbezogener Daten" als Erweiterung zu Art. 6 Abs. 1 e vor:
"Die Verarbeitung personenbezogener Daten ist zulässig, soweit sie zur Erfüllung einer in der Zuständigkeit der oder des Verantwortlichen liegenden Aufgabe, deren Wahrnehmung im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt, die der oder dem Verantwortlichen übertragen wurde, erfolgt, erforderlich ist");
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.