Menü
Wenn Sie personenbezogene Daten verarbeiten, dann muss klar sein, wozu die Datenverarbeitung dient.
Ein ganz klares Ja.
Eine betroffene Person hat das Recht zu erfahren, wofür ihre Daten verarbeitet werden. Andersherum sind Sie mit der Angabe eines Zwecks an diesen gebunden. Demnach darf eine Verarbeitung von personenbezogenen Daten grundsätzlich nicht für andere Zwecke erfolgen. Art. 5 DSGVO legt dies mit dem Grundsatz der Zweckbindung für die Verarbeitung personenbezogener Daten fest.
Drei Begriffe müssen Sie im Zusammenhang mit dem Thema Zweck der Datenverarbeitung verinnerlichen.
Personenbezogene Daten dürfen nur für bestimmte, ausdrücklich festgelegte und legitime Zwecke erhoben und verarbeitet werden.
Sie können als Verantwortlicher für einen Datenverarbeitungsvorgang auch mehrere Zwecke festlegen. Eine Beschränkung auf nur einen Zweck ist in der DSGVO nicht vorgeschrieben.
Dies klingt zunächst einfach. In der Praxis stellt sich jedoch oft die Frage, ob es ausreicht, den Zweck allgemein festzulegen oder ob gefordert ist, den Zweck spezieller und detaillierter zu bestimmen. Diese Frage lässt sich nur anhand der konkreten vorgesehenen Verarbeitung beantworten.
Es gilt: Der Zweck ist umso konkreter zu bestimmen, je stärker die vorgesehene Datenverarbeitung den Betroffenen zu belasten vermag. Sichergestellt werden muss, dass der Betroffene sich ein hinreichend konkretes Bild von der vorgesehenen Datenverarbeitung machen kann, um diese richtig einschätzen und somit kontrollieren zu können. Nur so können die Betroffenen die Datenverarbeitung nachvollziehen und gegebenenfalls einwilligen, ablehnen oder widersprechen.
Die Datenverarbeitung ist nur auf Grundlage eines legitimen (erlaubten) Zweck gestattet. Die Zweckverfolgung darf selbst nicht gegen geltende Rechtsnormen (also nicht nur gegen das Datenschutzrecht selbst) verstoßen.
Bevor Sie eine Datenerhebung veranlassen, müssen Sie den Zweck der Erhebung und der damit einhergehenden Verarbeitung festlegen. Dies ist erforderlich, um die passende Rechtsgrundlage für die Erhebung und Verarbeitung zu bestimmen und somit eine erlaubte, rechtmäßige Verarbeitung von Beginn an zu gewährleisten.
Nähere Informationen zur Rechtsgrundlage finden Sie im Basiswissen: Rechtmäßigkeit.
Ist der Zweck einmal festgelegt, so ist die fortlaufende Verarbeitung in dessen Grenzen zulässig. Die Daten dürfen nur zu dem festgelegten Zweck verarbeitet werden. Sie sind an diesen gebunden. Beabsichtigen Sie eine Änderung der Datenverarbeitung, die die Grenzen des ursprünglichen Zwecks zu überschreiten droht, ist Vorsicht geboten. Es handelt sich um einen Fall der Zweckänderung.
Die Zweckänderung ist gemäß Art. 6 Abs. 4 DSGVO unter bestimmten Voraussetzungen zulässig.
Die DSGVO schreibt zwar keine besondere Form vor, wie der Zweck festzulegen ist. Jedoch sollte der Zweck genauso wie eine Zweckänderung im Rahmen der Rechenschaftspflicht niedergelegt werden.
Anlässlich der Zweckfestlegung
Anlässlich einer Zweckänderung
Eine regelmäßige Überprüfung – mindestens jährlich – der festgelegten Zwecke ist zu empfehlen. Sollten sich Ihre Geschäftsprozesse ändern oder Sie neue Verarbeitungstätigkeiten (z. B. neue Software, neuer Webdienst) einführen, ist es wichtig, vorab den neuen Zweck festzulegen oder eine Zweckänderung zu prüfen. Beachten Sie auch neue gesetzliche Vorgaben, die ggf. eine Anpassung erfoderlich machen können.