Rechtmäßigkeit bedeutet, dass personenbezogene Daten nur dann verarbeitet werden dürfen, wenn dies auf einer rechtlichen Grundlage erfolgt. Dies kann durch Einwilligung der betroffenen Person, zur Erfüllung eines Vertrags, zur Erfüllung einer rechtlichen Verpflichtung oder zum Schutz lebenswichtiger Interessen geschehen. Die Verarbeitung muss außerdem nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise erfolgen.
Ein wesentlicher Aspekt der Rechtmäßigkeit ist die Transparenz. Betroffene müssen klar und verständlich darüber informiert werden, wie ihre Daten erhoben, verwendet und geschützt werden. Dies umfasst Informationen über die Identität des Verantwortlichen, die Zwecke der Verarbeitung, die Rechtsgrundlage und die Rechte der betroffenen Personen.