Was ist Zweckbindung?
Die Zweckbindung gehört zu den zentralen Grundsätzen der DSGVO und ist in Art. 5 Abs. 1 lit. b geregelt. Sie verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden. Der Zweck muss also vor der Erhebung feststehen – nicht erst hinterher gesucht werden. Daten, die für einen Zweck gesammelt wurden, dürfen anschließend nicht beliebig für ganz andere Zwecke weiterverwendet werden.
Das ist mehr als eine Formalie. Die Zweckbindung schützt das Vertrauen der Betroffenen: Wer seine Adresse für eine Bestellung angibt, rechnet nicht damit, dass sie an Werbepartner weitergegeben wird. Der Grundsatz ist außerdem die Grundlage für die Datenminimierung – erst der Zweck entscheidet, welche Daten überhaupt erforderlich sind.
Wann ist eine Zweckänderung zulässig?
Die Zweckbindung bedeutet nicht, dass Daten für immer in ihrem ursprünglichen Zweck eingefroren sind. Eine Weiterverarbeitung für einen anderen Zweck ist möglich, wenn der neue Zweck mit dem ursprünglichen vereinbar ist oder eine eigene Rechtsgrundlage greift. Für die Vereinbarkeitsprüfung sind unter anderem zu berücksichtigen:
- der Zusammenhang zwischen ursprünglichem und neuem Zweck;
- der Kontext der Erhebung und die vernünftigen Erwartungen der Betroffenen;
- die Art der Daten, insbesondere bei besonderen Kategorien;
- mögliche Folgen für die Betroffenen;
- vorhandene Schutzmaßnahmen wie Pseudonymisierung.
Ausdrücklich privilegiert sind die Archivierung im öffentlichen Interesse sowie wissenschaftliche, historische oder statistische Zwecke – sie gelten unter geeigneten Garantien grundsätzlich als vereinbar.
Zweckbindung in der Praxis
Im Alltag entscheidet die Zweckbindung über viele kleine Fragen: Dürfen wir Kundendaten aus dem Shop für eine Newsletter-Kampagne nutzen? Dürfen Bewerberdaten in einen Talentpool wandern? Dürfen Sensordaten aus einem System für eine ganz andere Auswertung herhalten? Die Antwort hängt fast immer davon ab, ob der neue Zweck mit dem ursprünglichen vereinbar ist oder eine eigene Grundlage hat – etwa eine separate Einwilligung.
Sauber wird die Zweckbindung, wenn jeder Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten ein klar formulierter Zweck zugeordnet ist. Schwammige Sammelzwecke wie "Geschäftsabwicklung" helfen niemandem. In der Datenschutzberatung formuliere ich mit Ihnen präzise Zwecke, die den realen Datennutzungen standhalten – damit eine spätere Idee zur Datennutzung nicht an einer fehlenden Grundlage scheitert.