Was bedeutet Zweckbindung?

Erst der Zweck, dann die Daten

Der Grundsatz hat zwei Hälften. Die erste betrifft den Anfang: Der Zweck muss vor der Erhebung feststehen, und zwar „festgelegt, eindeutig und legitim“. Erwägungsgrund 39 sagt ausdrücklich, dass die Zwecke „zum Zeitpunkt der Erhebung“ feststehen sollen. „Für alle Fälle“ oder „zur Verbesserung unserer Dienste“ ist zu vage, um als Zweck zu taugen.

Die zweite Hälfte betrifft alles danach: Die Daten dürfen nicht in einer Weise weiterverarbeitet werden, die mit dem ursprünglichen Zweck „nicht zu vereinbaren“ ist. Das Gesetz verbietet also nicht jede neue Nutzung, sondern nur die unvereinbare.

Der Vereinbarkeitstest nach Art. 6 Abs. 4

Soll eine Verarbeitung für einen neuen Zweck erfolgen, ohne dass die Person eingewilligt hat oder ein Gesetz das erlaubt, muss der Verantwortliche prüfen, ob der neue Zweck mit dem alten vereinbar ist. Art. 6 Abs. 4 nennt dafür unter anderem:

• die Verbindung zwischen ursprünglichem und neuem Zweck
• den Zusammenhang der Erhebung, besonders das Verhältnis zwischen Person und Verantwortlichem
• die Art der Daten, etwa ob besondere Kategorien oder Daten über Straftaten betroffen sind
• die möglichen Folgen für die betroffenen Personen
• geeignete Garantien wie Verschlüsselung oder Pseudonymisierung

Erwägungsgrund 50 ergänzt die „vernünftigen Erwartungen“ der Person. Wer einer Firma seine Telefonnummer für einen Rückruf gibt, rechnet nicht damit, dass sie später in einer Werbekampagne auftaucht. Für Archiv-, Forschungs- und Statistikzwecke gilt eine Weiterverarbeitung unter den Bedingungen von Art. 89 Abs. 1 nicht als unvereinbar. Und vor jeder Weiterverarbeitung zu einem anderen Zweck muss die Person darüber informiert werden (Art. 13 Abs. 3, Art. 14 Abs. 4).

Typische Zweckwechsel rund um Meetings

Bei Gesprächsaufnahmen und Transkripten liegt die Versuchung nahe, vorhandenes Material für Neues zu verwenden. Drei Beispiele, die genaue Prüfung brauchen:

Leistungskontrolle: Projektmeetings wurden aufgenommen, um Entscheidungen festzuhalten. Werden die Transkripte später ausgewertet, um zu messen, wie viel einzelne Mitarbeitende reden, ist das ein anderer Zweck mit erheblichen Folgen für die Beschäftigten. Im Arbeitsverhältnis kommen hier zusätzlich Mitbestimmungsrechte ins Spiel – in Österreich etwa nach § 96 ArbVG, in Deutschland nach § 87 Abs. 1 Nr. 6 BetrVG.

Marketing: Aus Kundengesprächen werden Zitate für eine Referenzseite gezogen. Ohne Einwilligung der Kundin ist das kaum mit dem ursprünglichen Zweck vereinbar.

KI-Training: Ein Dienstleister möchte Aufnahmen seiner Kunden verwenden, um eigene Modelle zu verbessern. Das ist ein neuer Zweck – und aus Sicht der DSGVO meist ein eigener, für den er selbst verantwortlich ist.

Warum Zweckbindung im Alltag hilft

Ein klar formulierter Zweck macht viele andere Fragen leichter. Er bestimmt, welche Daten nötig sind (Datenminimierung), wie lange sie bleiben dürfen (Speicherbegrenzung), was in der Informationspflicht steht und was ins Verarbeitungsverzeichnis kommt.

Eine gute Zweckangabe ist konkret: nicht „Kommunikation“, sondern „Dokumentation von Vereinbarungen aus Kundenterminen, damit Angebote und Aufgaben vollständig sind“.