Der Grundsatz der Zweckbindung ist ein Datenschutzgrundsatz aus Artikel 5 Absatz 1 Buchstabe b DSGVO: Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer damit nicht zu vereinbarenden Weise weiterverarbeitet werden.
Auf einen Blick
Artikel 5 Absatz 1 Buchstabe b DSGVO verlangt festgelegte, eindeutige und legitime Zwecke bei der Erhebung.
Eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken.
Die Datenschutzkonferenz beschreibt Uneinigkeit darüber, ob eine zweckändernde Verarbeitung, die die Voraussetzungen des Artikels 6 Absatz 4 an die Vereinbarkeit der Zwecke erfüllt, eine eigene Rechtsgrundlage braucht; Erwägungsgrund 50 verlangt bei vereinbarer Weiterverarbeitung keine andere gesonderte Rechtsgrundlage als diejenige für die Erhebung.
Was ist der Grundsatz der Zweckbindung?
Der Grundsatz der Zweckbindung verlangt nach Artikel 5 Absatz 1 Buchstabe b DSGVO festgelegte, eindeutige und legitime Zwecke bei der Erhebung und richtet sich gegen eine Weiterverarbeitung in einer mit diesen Zwecken nicht zu vereinbarenden Weise; ein anderer Zweck allein begründet danach noch keinen Verstoß gegen Buchstabe b. Die Datenschutzkonferenz bezeichnet das Prinzip der Zweckbindung in ihrem Erfahrungsbericht zur Anwendung der DSGVO als ein tragendes Prinzip des Datenschutzrechts. Rechtmäßigkeit nach Buchstabe a und Zweckbindung nach Buchstabe b sind laut diesem Bericht zwei unterschiedliche, nebeneinander stehende Prinzipien der Datenverarbeitung.
Daten zur Schadenregulierung eines Versicherers dürfen nach Artikel 5 DSGVO nicht in einer damit nicht zu vereinbarenden Weise weiterverarbeitet werden; für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke gilt eine Weiterverarbeitung gemäß Artikel 89 Absatz 1 nicht als unvereinbar. Nach Erwägungsgrund 50 ist bei einer Verarbeitung für andere Zwecke, die mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten.
Wie wird der Grundsatz der Zweckbindung angewendet?
Der Verantwortliche legt die Zwecke bei der Erhebung fest, denn die Daten werden nach Artikel 5 Absatz 1 Buchstabe b DSGVO für festgelegte, eindeutige und legitime Zwecke erhoben. Beruht die Verarbeitung zu einem anderen Zweck weder auf der Einwilligung der betroffenen Person noch auf einer Rechtsvorschrift, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, berücksichtigt der Verantwortliche nach Artikel 6 Absatz 4 DSGVO unter anderem die Verbindung zwischen den Zwecken, die Art der Daten, die möglichen Folgen für die betroffenen Personen und das Vorhandensein geeigneter Garantien.
Die Datenschutzkonferenz beschreibt in ihrem Erfahrungsbericht Uneinigkeit darüber, ob für eine zweckändernde Verarbeitung, die die Voraussetzungen des Artikels 6 Absatz 4 an die Vereinbarkeit der Zwecke erfüllt, eine eigene Rechtsgrundlage erforderlich ist. Dort heißt es auch: „Die Regelung impliziert also gerade, dass alle zweckändernden Verarbeitungen auf einer Rechtsgrundlage beruhen müssen.“ Diese Stellungnahme der Datenschutzkonferenz ist kein Wortlaut der Verordnung.
Grundsatz der Zweckbindung im Vergleich
| Kriterium | Grundsatz der Zweckbindung | Datenminimierung |
|---|---|---|
| Fundstelle | Artikel 5 Absatz 1 Buchstabe b DSGVO | Artikel 5 Absatz 1 Buchstabe c DSGVO |
| Wortlaut | Für festgelegte, eindeutige und legitime Zwecke erhoben, nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken. | Dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt. |
| Bezugspunkt | Die Zwecke der Erhebung und der Weiterverarbeitung | Die Zwecke der Verarbeitung und das dafür notwendige Maß der Daten |
| Zusammenhang | Laut Datenschutzkonferenz (Standard-Datenschutzmodell) steht der Grundsatz der Datenminimierung in einem engen Zusammenhang mit dem Grundsatz der Zweckbindung. | Beide sind eigenständige Grundsätze in Artikel 5 Absatz 1 DSGVO. |
Wann ist der Grundsatz der Zweckbindung verletzt?
| Prüfpunkt | Was das bedeutet |
|---|---|
| Zwecke bei der Erhebung | Nach Artikel 5 Absatz 1 Buchstabe b DSGVO werden die Daten für festgelegte, eindeutige und legitime Zwecke erhoben. |
| Weiterverarbeitung | Die Daten dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken. |
| Anderer Zweck ohne Einwilligung oder Rechtsvorschrift | Nach Artikel 6 Absatz 4 DSGVO berücksichtigt der Verantwortliche unter anderem die Verbindung zwischen den Zwecken, die Art der Daten, die möglichen Folgen für die betroffenen Personen und das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann. |
| Rechtsgrundlage | Nach Erwägungsgrund 50 ist bei vereinbarer Weiterverarbeitung keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung; die Datenschutzkonferenz beschreibt Uneinigkeit darüber, ob eine eigene Rechtsgrundlage erforderlich ist. |
Schutz im Ernstfall
Vorbeugen
- Zwecke festlegen: Artikel 5 Absatz 1 Buchstabe b DSGVO sieht vor, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden.
- Vor einer Weiterverarbeitung für einen anderen Zweck prüfen, ob sie auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt; beruht sie nicht darauf, die Vereinbarkeit der Zwecke prüfen: Nach Artikel 6 Absatz 4 DSGVO berücksichtigt der Verantwortliche dabei unter anderem die Verbindung zwischen den Zwecken, die Art der Daten, die möglichen Folgen für die betroffenen Personen und geeignete Garantien. Ob für die zweckändernde Verarbeitung eine eigene Rechtsgrundlage erforderlich ist, beschreibt die Datenschutzkonferenz als Uneinigkeit.
- Die betroffene Person informieren: Beabsichtigt der Verantwortliche, die Daten für einen anderen Zweck weiterzuverarbeiten, stellt er ihr vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen zur Verfügung (Artikel 13 Absatz 3 DSGVO, wenn die Daten bei der betroffenen Person erhoben wurden); nach Absatz 4 gilt das nicht, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
- Die Einhaltung nachweisen: Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (Artikel 5 Absatz 2 DSGVO).
Beispiele aus der Praxis
- Will ein Verantwortlicher erhobene Daten für einen anderen Zweck weiterverarbeiten, ohne dass die Verarbeitung auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, berücksichtigt er nach Artikel 6 Absatz 4 DSGVO unter anderem die Verbindung der Zwecke und die möglichen Folgen für die betroffenen Personen.
- Beabsichtigt ein Verantwortlicher, bei der betroffenen Person erhobene Daten für einen anderen Zweck weiterzuverarbeiten, stellt er der betroffenen Person nach Artikel 13 Absatz 3 DSGVO vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck zur Verfügung; nach Absatz 4 gilt das nicht, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
- Erfüllt eine zweckändernde Verarbeitung die Voraussetzungen des Artikels 6 Absatz 4 an die Vereinbarkeit der Zwecke, ist nach Erwägungsgrund 50 keine andere gesonderte Rechtsgrundlage erforderlich; die Datenschutzkonferenz beschreibt dazu Uneinigkeit.
- Erhebt ein Versicherer Daten zur Schadenregulierung und wertet sie später für statistische Zwecke aus, gilt diese Weiterverarbeitung nach Artikel 5 Absatz 1 Buchstabe b DSGVO nicht als unvereinbar mit den ursprünglichen Zwecken, sofern sie gemäß Artikel 89 Absatz 1 erfolgt.
