§ 3 Allgemeine Verarbeitungsgrundsätze / C. Zweckbindungsgrundsatz

Rz. 18

Art. 5 Abs. 1 lit. b) DSGVO normiert den zweiten maßgeblichen Datenschutzgrundsatz, nämlich den der Zweckbindung. Dammann^[43] formuliert zutreffend:

Zitat

"Der Zweck ist der Maßstab der Erforderlichkeit und der Angemessenheit [...], der Richtigkeit und Vollständigkeit […] und der Dauer der Verarbeitung […]."

Rz. 19

Dies ist nicht neu, sondern bereits aus der Datenschutzrichtlinie sowie dem BDSG bekannt. Hiernach müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Die DSGVO selbst sieht keine Limitierung der Zwecke vor, denen eine Datenverarbeitung folgen kann. Vielmehr ist generell jeder (in den Grenzen der Rechtsordnung) zulässigerweise verfolgbare Zweck denkbar. Der Zweck im datenschutzrechtlichen Sinne verkörpert insoweit das mit einem bestimmten Verarbeitungsvorgang vom Verantwortlichen verfolgte wirtschaftliche, rechtliche oder ideelle Ziel und ist insoweit für sich genommen "datenschutzneutral". Zweck kann daher mit

Zitat

"erwartetes Ergebnis, das beabsichtigt ist oder die geplanten Aktionen leitet"^[44]

definiert werden.

Rz. 20

Die Zweckbindung limitiert gleichwohl und zwar in Richtung der im Rahmen einer Zielverfolgung zulässigerweise zu vollziehenden Datenverarbeitungsvorgänge^[45] und ist damit zugleich Ausdruck des Verhältnismäßigkeitsprinzips. Dementsprechend ist z.B. die "anlasslose" Sammlung von personenbezogenen Daten auf Vorrat zu unbestimmten oder noch nicht bestimmbaren Zwecken auch mit der DSGVO unvereinbar.^[46] Die DSGVO erfordert keine Festlegung auf einen einzelnen Zweck, vielmehr kann ein Datenverarbeitungsvorgang auch mehreren Zwecken dienen.^[47] Die Zweckfestlegung ist bei der Verarbeitung der Daten zu beachten. Der festgelegte Zweck bestimmt etwa, welche Daten verarbeitet werden und wie lange sie gespeichert werden dürfen.^[48] Eine gewisse Ausprägung erfährt der Zweckbindungsgrundsatz in den Erlaubnistatbeständen des Art. 6 DSGVO.^[49] Die hier gesetzlich verankerten Zwecke sind nicht abschließend. Vielmehr hat sich die Zweckbestimmung in erster Linie an den in Art. 5 Abs. 1 lit b) DSGVO normierten Kriterien der Festlegung, Eindeutigkeit und Legitimität zu orientieren, die zum Zeitpunkt der erstmaligen Erhebung^[50] eines personenbezogenen Datums zu bestimmen sind.

(Abbildung 1: Anforderungen an Zwecksetzung)

[43] Dammann, ZD 2016, 307, 311.

[44] Art 29-Datenschutzgruppe, WP 169 v. 16.2.2010, S. 16, abrufbar unter: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2010/wp169_de.pdf; siehe auch Art. 29. Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG, WP 217, S. 30 a.E., abrufbar unter: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp217_de.pdf: "Im Datenschutzdiskurs ist "Zweck" der besondere Grund, aus dem die Daten verarbeitet werden: das Ziel oder Anliegen der Datenverarbeitung".

[45] Erwägungsgrund 39 DSGVO: "Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein".

[46] Zur bisherigen Rechtslage Kazemi/Leopold, Datenschutzrecht in der anwaltlichen Beratung, § 1 Rn 45 ff.

[47] So auch Erwägungsgrund 32 DSGVO, hier heißt es in Bezug auf die Einwilligung: "Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden."

[48] Erwägungsgrund 39 DSGVO: "Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann."

[49] Beispielsweise der Zweck der "Vertragserfüllung" gem. Art. 6 Abs. 1 lit. b) DSGVO oder auch die Verarbeitung zum Zweck der "Erfüllung einer rechtlichen Verpflichtung" gem. Art. 6 Abs. 1 lit c) DSGVO.

[50] Erwägungsgrund 39 DSGVO: "Insbesondere sollten die bestimmten Zwecke […] zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen."

I. Festgelegter Zweck

Rz. 21

Das Erfordernis der Zweckfestlegung folgt keiner strikten Formvorgabe, so dass selbige grundsätzlich auch rein "gedanklich" erfolgen könnte. Mit Blick auf das weitere Kriterium der Eindeutigkeit^[51] sowie die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO^[52] empfiehlt es sich, die Zweckfestlegung zumindest in Textform zu dokumentieren.^[53]

[51] Hierzu sogleich Rdn 15 ff.

[52] Hierzu unter Rdn 45 ff.

[53] Herbst, in in Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 5 Rn 31, spricht hier unter Verweis auf die Stellungnahme WP 203 der Art. 29 Datenschutzgruppe von einem Schriftformerfordernis. Mit Blick darauf, dass die Zweckfestlegung auch in elektronischer Form dokumentiert werden kann, erscheint diese Einschränkung nach hiesiger Sicht nicht erforderlich. Auch die Stellungnahme der Art. 29-Datenschutz...