Wanneer is verwerken van persoonsgegevens toegestaan?

Onder de Algemene verordening gegevensbescherming (AVG) zijn de regels voor het verwerken van persoonsgegevens heel streng geworden. Wanneer is dat voor onze organisatie wel toegestaan?