Personenbezogene Daten dürfen nur dann zur Erfüllung von Aufsichts- und Kontrollbefugnissen sowie zur Rechnungsprüfung verarbeitet werden, wenn dies erforderlich ist, weil die Aufgabe auf andere Weise, insbesondere mit anonymisierten Daten, nicht oder nur mit unverhältnismäßigem Aufwand erfüllt werden kann.
Verordnung (EU) des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 S. 1, zuletzt ber. 2018, ABl. L 127 S. 2)