Sie ist nur zulässig, wenn das das BDSG oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder eine betroffene Person in die Erhebung, Verarbeitung oder Nutzung eingewilligt hat.
Grundsätzlich müssen die Daten immer beim Betroffenen erhoben werden. In Ausnahmefällen können diese Daten auch ohne seine Mitwirkung erhoben werden, beispielsweise besondere Rechtsvorschriften).
Außerdem ist der Betroffene über die Identität der verantwortlichen Stellen, dem Zweck der Erhebung, Verarbeitung oder Nutzung seiner Daten zu unterrichten.