Nach dem Grundsatz der Verhältnismässigkeit (vgl. Art. 6 Abs. 2 DSG) dürfen insbesondere nur solche Daten erhoben werden, die für den entsprechenden, kommunizierten Zweck notwendig und geeignet sind. Konkret muss eine Datenbearbeitung für den verfolgten Zweck geeignet, erforderlich und für die betroffene Person zumutbar sein. Nicht geeignet ist von vornherein eine Bearbeitung «auf Vorrat». Erforderlich heisst: das mildeste Mittel – daraus folgen die Grundsätze der Datenvermeidung (den Zweck wenn möglich ohne neue Daten erreichen) und der Datensparsamkeit (nur Daten bearbeiten, die für den Zweck wirklich nötig sind). Zumutbar ist die Bearbeitung, wenn Zweck und Mittel aus Sicht der betroffenen Person in einem vernünftigen Verhältnis stehen (Urteil BVGer A-4467/2025, E. 9.4). So braucht ein Anbieter bei einer Online-Bestellung eines E-Books lediglich den Namen (Identifizierung), evtl. das Geburtsdatum (Identifizierung, Vertragsfähigkeit), eine E-Mail-Adresse (Kommunikation) und die Kreditkarten-Daten (Zahlung). Die Angabe einer physischen Adresse aber ist zur Abwicklung dieses Geschäftes weder notwendig, noch geeignet. Der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) stellte 2018 fest, dass der Sportartikel-Händler Decathlon in seinen Schweizer Filialen beim Kauf die Angabe einer E-Mail-Adresse oder Telefonnummer verlangte (EDÖB, Tätigkeitsbericht 2018/2019). Decathlon erklärte daraufhin, dass die Datenerhebung künftig freiwillig sei, und überarbeitete seine Kundeninformation entsprechend (EDÖB, Tätigkeitsbericht 2019/2020). Zum Prinzip der Verhältnismässigkeit gehört auch, dass Daten nur so lange gespeichert werden dürfen, wie dies für den Zweck notwendig ist. Da in der Regel genügend Speicherkapazität vorhanden ist und damit keine technische Notwendigkeit zur Löschung besteht, gehört das Unterlassen des eigentlich gebotenen Löschens möglicherweise zu den häufigsten datenschutzrechtlichen Verletzungen.