Die Datenschutz-Grundverordnung schreibt für die Verarbeitung personenbezogener Daten vor: 

Personenbezogene Daten müssen dem Zweck angemessen und erheblich sein. Außerdem müssen sie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden.

Dieses Prinzip der Datenminimierung gilt auch bei der Verarbeitung innerhalb des Unternehmens und wird in diesem Fall "Berechtigungskonzept" genannt.