Zweckbindung: Definition und Bedeutung

Was ist Zweckbindung im Datenschutz?

Zweckbindung bedeutet, dass personenbezogene Daten nur für den Zweck verwendet werden dürfen, für den sie ursprünglich erhoben wurden. Das Prinzip ist in Art. 5 Abs. 1 lit. b DSGVO verankert und gilt als einer der Grundsätze der Datenverarbeitung. Jede Weiterverarbeitung für einen anderen Zweck ist grundsätzlich unzulässig, es sei denn, sie ist mit dem ursprünglichen Zweck vereinbar oder durch eine eigene Rechtsgrundlage gedeckt.

Das Datenschutzrecht stellt klare Anforderungen an den Umgang mit personenbezogenen Daten — eine der grundlegendsten davon ist die Zweckbindung. Wer Daten erhebt, muss vorab festlegen, wofür. Wer sie später anders nutzen will, braucht dafür eine eigene Grundlage. Klingt einfach, ist in der Praxis aber einer der häufigsten Fallstricke.

Zweckbindung nach DSGVO: Was Unternehmen wissen und umsetzen müssen

Das Datenschutzrecht stellt klare Anforderungen an den Umgang mit personenbezogenen Daten, eine der grundlegendsten davon ist die Zweckbindung. Wer Daten erhebt, muss vorab festlegen, wofür. Wer sie später anders nutzen will, braucht dafür eine eigene Grundlage. Klingt einfach, ist in der Praxis aber einer der häufigsten Fallstricke.

Was ist ein „vereinbarer Zweck“?

Die DSGVO erlaubt eine Weiterverarbeitung, wenn sie mit dem ursprünglichen Zweck vereinbar ist. Ob das der Fall ist, bestimmt sich nach Art. 6 Abs. 4 DSGVO. Folgende Faktoren spielen dabei eine Rolle: die Verbindung zwischen den Zwecken, der Kontext der Erhebung, die Art der Daten, die möglichen Folgen der Weiterverarbeitung und das Vorliegen geeigneter Garantien (z. B. Verschlüsselung, Pseudonymisierung).

Beispiel: Kundendaten, die für die Vertragsabwicklung erhoben wurden, dürfen nicht ohne Weiteres für personalisierte Werbung genutzt werden, das wäre ein unvereinbarer Zweck.

Warum ist die Zweckbindung so wichtig?

Die Zweckbindung hilft dabei, die Privatsphäre der Menschen zu schützen, deren Daten erhoben werden. Sie stellt sicher, dass diese Informationen nicht für ungewollte oder unangemessene Zwecke verwendet werden. Indem Unternehmen klar festlegen, wofür sie die Daten nutzen, schaffen sie Vertrauen bei ihren KundInnen und zeigen, dass sie verantwortungsvoll mit den Informationen umgehen.

Für Unternehmen bedeutet die Einhaltung der Zweckbindung nicht nur die Erfüllung einer gesetzlichen Vorgabe, sondern sie hilft auch, Risiken zu minimieren. Durch die genaue Festlegung der Verwendungszwecke wissen Unternehmen genau, welche Daten sie tatsächlich brauchen, und können so den Missbrauch oder die Fehlverwendung von Daten besser vermeiden.

Welche Anforderungen stellt die DSGVO zur Zweckbindung an Unternehmen?

Um die Anforderungen der Zweckbindung zu erfüllen, müssen Unternehmen folgende Schritte beachten:

1. Zweckdefinition: Bereits bei der Erhebung der Daten muss der Zweck klar und eindeutig festgelegt werden. Der Zweck muss auch im Einklang mit den gesetzlichen Anforderungen stehen und gegenüber den betroffenen Personen transparent kommuniziert werden.
2. Dokumentation: Die festgelegten Zwecke und die dazugehörigen Datenverarbeitungsvorgänge müssen dokumentiert werden. Diese Dokumentation ist ein wichtiger Bestandteil der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).
3. Datenminimierung: Unternehmen dürfen nur so viele Daten erheben und speichern, wie für den angegebenen Zweck notwendig ist (Art. 5 Abs. 1 lit. c DSGVO). Dies verhindert, dass unnötig große Datenmengen angesammelt werden, die ein höheres Risiko für Datenschutzverletzungen darstellen.
4. Einschränkung der Weiterverarbeitung: Eine Weiterverarbeitung von Daten ist nur erlaubt, wenn sie mit dem ursprünglichen Zweck vereinbar ist. Ist dies nicht der Fall, muss eine erneute Einwilligung der betroffenen Person eingeholt werden oder ein anderer Rechtsgrund vorliegen.
5. Mitarbeiterschulungen: Schulungen helfen, das Bewusstsein für den Grundsatz der Zweckbindung und andere Datenschutzprinzipien zu stärken. Mit der DSGVO-Schulung von lawpilots schulen Sie alle Mitarbeitenden rechtssicher, nachweisbar und in über 35 Sprachen.

Beispiele für Verstöße gegen die Zweckbindung

Ein häufiger Verstoß gegen die Zweckbindung ist die unerlaubte Verwendung von Daten für Marketingzwecke. Hier einige Szenarien:

• Ein Unternehmen sammelt E-Mail-Adressen von KundInnen für den Versand von Rechnungen und verwendet diese später, um ohne Zustimmung Newsletter zu verschicken.
• Ein Online-Shop teilt Kundendaten mit Partnerunternehmen, um deren Produkte zu bewerben, obwohl dies nicht im ursprünglichen Zweck der Datenerhebung enthalten war.

Solche Verstöße können laut DSGVO zu Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes führen (Art. 83 Abs. 5 DSGVO).

Zweckänderung und ihre Voraussetzungen

Eine Zweckänderung liegt vor, wenn ein Unternehmen personenbezogene Daten für einen anderen Zweck verwenden möchte als ursprünglich vorgesehen. Nach Art. 6 Abs. 4 DSGVO ist das nur dann zulässig,wenn der neue Zweck ähnlich oder mit dem ursprünglichen Zweck vereinbar ist, oder wenn es eine rechtliche Grundlage dafür gibt. Die DSGVO gibt hierzu strenge Kriterien vor, wann eine solche Zweckänderung erlaubt ist. In besonderen Fällen, wie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder zur Wahrnehmung behördlicher Aufgaben, kann eine Zweckänderung auch ohne erneute Einwilligung der betroffenen Personen erfolgen. 
Gemäß Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO müssen Unternehmen die betroffenen Personen darüber informieren, wenn sich der Zweck der Verarbeitung ändert.

Praktische Maßnahmen zur Sicherstellung der Zweckbindung

Um die Zweckbindung sicherzustellen, sollten Unternehmen mehrere Maßnahmen umsetzen:

• Festlegung klarer Datenschutzrichtlinien: Vor jeder Erhebung personenbezogener Daten muss der Zweck klar definiert und dokumentiert werden.
• Regelmäßige Überprüfung der Datenverarbeitung: Unternehmen sollten sicherstellen, dass personenbezogene Daten nur für den festgelegten Zweck genutzt werden.
• Mitarbeiterschulungen: Schulungen helfen, das Bewusstsein für denGrundsatz der Zweckbindung und andere Datenschutzprinzipien zu stärken.

Zudem ist es wichtig, dass Unternehmen sicherstellen, dass personenbezogene Daten nach Erfüllung des Zwecks gelöscht oder anonymisiert werden, wie in Art. 5 Abs. 1 DSGVO vorgeschrieben.

Wie lange dürfen Daten gespeichert werden?

Der Grundsatz der Speicherbegrenzung ist ebenfalls in Art. 5 Abs. 1 DSGVO festgelegt. Unternehmen dürfen personenbezogene Daten nur so lange speichern, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist. Sobald der Zweck erfüllt ist, müssen die Daten gelöscht oder anonymisiert werden.

Fazit

Für Unternehmen ist die Zweckbindung nicht nur eine gesetzliche Pflicht, sondern ein Qualitätsmerkmal im Umgang mit Daten. Wer den Grundsatz versteht und im Alltag lebt, schützt Betroffene, minimiert Haftungsrisiken und schafft Vertrauen, bei Kunden, Aufsichtsbehörden und der eigenen Belegschaft. Regelmäßige Überprüfung der Verarbeitungsvorgänge und gut geschulte Mitarbeitende sind dabei die wichtigsten Hebel.

Quellen:

• Datenschutz-Grundverordnung (EU) 2016/679, Art. 5 Abs. 1 lit. b, Art. 6 Abs. 4, Art. 83 Abs. 5 · EUR-Lex
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Kurzpapier Nr. 3: Verarbeitung personenbezogener Daten · bfdi.bund.de
• DSVO (2021). Art. 7 DSVO. “Zweckbindung, Zweckänderung”. 
• Strauß, K. (2020). “Was ist die Zweckbindung bei der DSVO bei Datenverarbeitungen?”.