Een contractuele verplichting bestaat wanneer je een overeenkomst hebt met een klant, werknemer of gebruiker waarin staat dat persoonsgegevens verwerkt worden (bijvoorbeeld een arbeidsovereenkomst).
Een wettelijke verplichting bestaat wanneer de verwerking is voorgeschreven door Europese of nationale wetgeving (bijvoorbeeld verwerkingen op basis van belastingwetgeving of een bevel van de politie).