Zurück zu: Datenschutz Grundschulung
Der Grundsatz der Zweckbindung besagt: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Verarbeitung für andere, damit unvereinbare Zwecke ist unzulässig.
Was bedeutet das konkret?
Bevor Daten erhoben werden, muss der Zweck klar definiert sein. Dieser Zweck muss so konkret formuliert sein, dass man ihn überprüfen kann.
- Zu unbestimmt wäre: „Wir speichern Ihre Daten für zukünftige Geschäftszwecke.“
- Ausreichend konkret ist: „Wir speichern Ihre Lieferadresse, um Ihnen die bestellte Ware zusenden zu können.“
Wann ist eine Weiterverarbeitung erlaubt?
Die DSGVO verbietet nicht jede spätere Nutzung für andere Zwecke, sondern nur die Nutzung für Zwecke, die mit dem ursprünglichen Zweck „unvereinbar“ sind. Ob ein neuer Zweck noch vereinbar ist, muss im Einzelfall geprüft werden. Dabei spielen unter anderem folgende Faktoren eine Rolle:
- Wie eng hängt der neue Zweck mit dem ursprünglichen zusammen?
- In welchem Zusammenhang wurden die Daten erhoben – was erwartet die betroffene Person?
- Um welche Art von Daten handelt es sich (besonders sensible Daten erfordern strengere Maßstäbe)?
- Welche Folgen hat die Weiterverarbeitung für die betroffene Person?
- Gibt es geeignete Schutzmaßnahmen wie Verschlüsselung oder Pseudonymisierung?
Beispiel: Ein Kunde gibt seine E-Mail-Adresse an, um eine Auftragsbestätigung zu erhalten. Die Nutzung derselben Adresse für die Zusendung der Rechnung ist mit dem ursprünglichen Zweck noch vereinbar – beides gehört zur Abwicklung der Bestellung. Die Nutzung der Adresse für einen wöchentlichen Werbe-Newsletter ist hingegen ein völlig anderer Zweck und erfordert eine eigene Rechtsgrundlage (in der Regel eine separate Einwilligung).
Für Ihren Alltag: Nutzen Sie Daten immer nur für den Zweck, für den sie erhoben wurden. Wenn Sie Daten für etwas anderes verwenden möchten, klären Sie vorher mit dem Datenschutzbeauftragten, ob das zulässig ist.