Personenbezogene Daten dürfen ab dem 25. Mai 2018 nach der DSGVO – vereinfacht dargestellt – nur noch in nachfolgenden Konstellationen verarbeitet werden (vgl. Artikel 6 DSGVO):
Die Datenverarbeitung ist erforderlich, um Pflichten aus einem Vertragsverhältnis mit dem Betroffenen zu erfüllen oder sie ist zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage des Betroffenen erfolgen.
Es liegt eine wirksame Einwilligung des Betroffenen vor.
Es gibt eine gesetzliche Pflicht zur Datenverarbeitung (z.B. eine Aufbewahrungspflicht)
Die Datenverarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.
Die Datenverarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen der betroffenen Person (oder seine gesetzlich eingeräumten „Datenschutzrechte“) überwiegen (Datenverarbeitung auf Basis einer Interessenabwägung).