Sowohl nach dem DSG – auch dem revDSG – als auch nach der DSGVO sind bei jeder Bearbeitung von Personendaten bestimmte Grundsätze einzuhalten. Das sind die Grundsätze der Transparenz, der Zweckbindung, der Verhältnismässigkeit, der Datenrichtigkeit und der Datensicherheit. Die Datensicherheit ist nach dem revDSG allerdings kein Bearbeitungsgrundsatz mehr oder jedenfalls kein typischer, nachdem die Bestimmung zur Persönlichkeitsverletzung keine Bezug mehr auf die Datensicherheit nimmt. Dazu kommt der Grundsatz von Treu und Glauben. Das Verhältnis der Grundsätze untereinander ist wenig klar. Der Grundsatz von Treu und Glauben ist eher ein Auffangtatbestand. Entscheidend sind die drei zusammenhängenden Grundsätze von Transparenz, Zweckbindung und Verhältnismässigkeit: Bezugspunkt der Bearbeitung ist jeweils ihr Zweck. An diesem Zweck misst sich die Verhältnismässigkeit, denn verhältnismässig im weiteren Sinne sind Bearbeitungen, die für den Zweck der Bearbeitung geeignet und erforderlich sind. Auch die Zweckbindung nimmt – offensichtlich – auf den Zweck Bezug. Diesen Zweck setzt der Verantwortliche im Rahmen der weiteren Rechtsordnung frei. Er wird darin durch das DSG nicht beschränkt – es gilt die Wirtschaftsfreiheit, vorbehaltlich der Verletzung einer Verhaltensnorm z.B. aus dem Strafrecht (der EDÖB vergisst dies bisweilen, wenn er der Meinung ist, eine Datenbearbeitung sollte nicht sein – dann bezeichnet er sie kurzerhand als unverhältnismässig, ohne dass er berücksichtigt, dass der Verantwortliche den Zweck vielleicht weit gesetzt hat). Der Verantwortliche setzt deshalb den Zweck, und das tut er durch Transparenz: Der Bearbeitungszweck ist derjenige Zweck, den der Verantwortliche kommuniziert oder der offensichtlich ist (d.h. aus den Umständen erkennbar ist). Im Ergebnis gilt also, dass der Verantwortliche den Zweck setzt, sich an diesen halten muss und Daten nur so bearbeiten darf, wie es für den Zweck erforderlich ist. Das ist an sich der Kern des materiellen Datenschutzrechts. Wenn man will, kann man weitere Regeln als Bearbeitungsgrundsätze sehen, so das Verbot der Bekanntgabe von besonders schützenswerten Personendaten und heute von Persönlichkeitsprofilen an Dritte oder das Verbot, Personendaten gegen den geäusserten Willen des Betroffenen zu bearbeiten. Auch die grundsätzliche Bearbeitungsfreiheit veröffentlichter Daten kann als Bearbeitungsgrundsatz bezeichnet werden.