Datenverarbeitungsanlagen mit denen personenbezogene Daten verarbeitet oder gespeichert werden, sind so abzusichern, dass Unbefugte keinen Zugriff erhalten und diese nicht nutzen können. Die rechtliche Regelung der Zugangskontrolle ist in der Anlage zu § 9 Nummer 2 BDSG geregelt. Typische Beispiele für geeignete Maßnahmen sind etwa die Absicherung von zentralen Drucker- und Kopiermaschinen, die unbeaufsichtigt in gesonderten Räumen oder Fluren aufgestellt sind, die Sperrung nicht benötigter Ports, ein Nutzungsverbot nicht vom Unternehmen getesteter und freigegebener Hard- und Software sowie die sichere Aufbewahrung von Datenträgern vor, während und nach einem Transport.

Werden personenbezogene Daten erhoben, verarbeitet, gespeichert oder genutzt, so hat dies ausschließlich auf Grund einer klaren, vorher benannten Verwendung - dem Zweck - zu geschehen. Dieser Zweck muss der betroffenen Person mitgeteilt werden. Sollen diese Daten für einen weiteren Zweck genutzt werden, ist eine erneute Einwilligung der betroffenen Person einzuholen. Daten dürfen nur für den angegebenen Zweck verwendet werden und sind unmittelbar nach der Zweckerfüllung oder dem Wegfall des Geschäftszwecks wirksam und datenschutzkonform zu löschen/vernichten, spätestens hat dies mit Ablauf der gesetzlichen Aufbewahrungsfrist zu erfolgen.