Een organisatie mag zich op deze grondslag baseren wanneer de organisatie een overeenkomst heeft met iemand en om de overeenkomst na te komen het verwerken van persoonsgegevens noodzakelijk is. De organisatie mag niet meer verwerken dan nodig.
Een voorbeeld zou kunnen zijn het leveren van producten, dan is het adres van de klant nodig om de overeenkomst na te komen.
Dit is de wettelijke grondslag die het veiligst is. Als je duidelijk maakt wat er noodzakelijk is om te verwerken onder de overeenkomst dan zullen er niet snel conficten ontstaan.