Dieses zentrale Grundprinzip der DSGVO besagt: Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten -- außer es liegt ein Erlaubnistatbestand vor. Die Beweislast dafür liegt beim Verantwortlichen. Die möglichen Erlaubnistatbestände regelt Art. 6 DSGVO.
Das Verbot mit Erlaubnisvorbehalt schützt das Grundrecht auf informationelle Selbstbestimmung und stellt sicher, dass Unternehmen nicht willkürlich personenbezogene Daten verarbeiten.
Das Prinzip unterscheidet sich fundamental vom schweizerischen Modell der "Erlaubnis mit Verbotsvorbehalt", bei dem Datenverarbeitung grundsätzlich erlaubt ist und nur bei Verletzung von Verarbeitungsgrundsätzen verboten wird. Mit der DSGVO wurde das strengere deutsche Modell EU-weit übernommen, um einen hohen Schutzstandard zu gewährleisten.