Zweckbindung

Der Grundsatz der Zweckbindung gehört zu den goldenen Grundsätzen der Datenverarbeitung, die Art. 5 DS-GVO vorgibt. Die Zweckbindung sagt aus, dass die Erhebung und Verarbeitung von personenbezogenen Daten nur für festgelegte, eindeutige und legitime Zwecke erfolgen darf. Diese Verarbeitungszwecke beantworten die Frage nach dem Warum oder Wozu der Datenverarbeitung und sind gleichzeitig maßgeblich für weitere Detailfragen – so orientieren sich z. B. die Erforderlichkeit, Angemessenheit, Vollständigkeit und Dauer der Verarbeitung an der Erreichung der definierten Zwecke.

Zweck = Dreh- und Angelpunkt der Datenverarbeitung

Welche Daten erhoben und verarbeitet werden, sind damit durch den Zweck erklärt. Je nach vorher definiertem Zweck dürfen Unternehmen gemäß dem Grundsatz der Zweckbindung nur bestimme Daten für einen festgelegten Zeitraum speichern und verwenden. Ob Videoaufnahmen bei einem Arbeitsunfall der Versicherung ausgehändigt werden dürfen, hängt beispielsweise von der Zweckbeschreibung der Videoüberwachung ab. Dient die Anlage nur der Diebstahlprävention, ist die Prüfung von Arbeitsunfällen nicht abgedeckt. Eine Weitergabe des Videomaterials ist an die Versicherung ist damit nicht zulässig. Sobald der definierte Zweck erreicht worden ist, müssen die erhobenen Daten datenschutzkonform gelöscht werden. Im Falle der Videoüberwachung liegt die allgemeine Löschfrist für die Aufnahmen bei 48 Stunden. Hat jedoch ein Überfall oder ein Einbruch stattgefunden, dürfen die Aufnahmen des relevanten Zeitraums hingegen bis zum Abschluss der Ermittlungen und sich ggf. anschließenden Gerichtsverfahren gespeichert werden, da der Verarbeitungszweck dieser speziellen Aufnahme erst dann erreicht ist.

Koppelung an die Rechtmäßigkeit und Datenminimierung

Der Grundsatz der Zweckbindung ist außerdem eng an die Grundsätze der Rechtmäßigkeit (Art. 5 Abs. 1 lit. a DS-GVO) und der Datenminimierung (Art. 5 Abs. 1 lit. c DS-GVO) gekoppelt. So ergibt sich in vielen Fällen der Zweck bereits aus der benötigten Rechtsgrundlage wie etwa bei der Erfüllung vertraglicher oder gesetzlicher Pflichten (Art. 6 Abs. 1 S. 1 lit. b) bzw. c) DS-GVO). Bei Datenverarbeitungen auf Basis einer Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DS-GVO) ist die transparente Erläuterung des Zwecks hingegen Wirksamkeitsvoraussetzung für die zu erteilende Zustimmung. Der Grundsatz der Datenminimierung wiederum legt fest, dass nur diejenigen Daten verarbeitet werden dürfen, die zur Erreichung des definierten Zwecks notwendig sind.

Was muss bei der Zweckbindung beachtet werden?

Bei der Zweckbindung gibt es folgende Aspekte zu beachten:

• Der Zweck für die Datenverarbeitung muss vor der Bearbeitung und Erhebung von personenbezogenen Daten definiert werden
• Der Zweck sollte in der jeweiligen Verfahrensbeschreibung dokumentiert werden
• Der Zweck muss eindeutig sein
• Eine Verwendung der personenbezogenen Daten zu einem anderen als dem definierten Zweck ist nur in Ausnahmefällen bei einer zulässigen Zweckänderung (Art. 6 Abs. 4 DS-GVO) möglich.