Grundsätzlich gilt: Verbot mit Erlaubnisvorbehalt
Nach der Datenschutzgrundverordnung (DSGVO) ist die Verarbeitung personenbezogener Daten nur dann erlaubt, wenn dies gesetzlich zugelassen ist. Das folgt aus Art. 6 DSGVO und wird häufig als „Verbot mit Erlaubnisvorbehalt“ bezeichnet.
Dieses Verbot greift allerdings nur für „personenbezogene Daten“. Personenbezogene Daten sind Daten, die einen mittelbaren oder unmittelbaren Rückschluss auf eine dahinterstehende natürliche Person zulassen. Diese Art von Daten darf nur verarbeitet werden, wenn die DSGVO dies aus konkreten Gründen zulässt, also ein sogenannter Rechtfertigungstatbestand greift. Bei der Verarbeitung von Kundendaten ist vor allem an folgende Varianten zu denken: eine Einwilligung des Kunden, die Erforderlichkeit zur Vertragserfüllung oder ein berechtigtes Interesse des Anbieters.
Werden hingegen nur anonymisierte Daten verarbeitet, kommt es nicht darauf an, ob ein Rechtfertigungstatbestand greift. Das ist vor allem für die statistische Auswertung anonymisierter Kundendaten von Bedeutung. Diese ist in der Regel zulässig.