Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO)

Die Zweckbindung ist der „Grundstein des Datenschutzrechts". Sie ist Bezugspunkt nahezu aller übrigen Anforderungen der DSGVO: Erforderlichkeit, Informationspflichten und Rechtsgrundlage lassen sich ohne festgelegten Zweck nicht prüfen.

1 Überblick

1.1 Die zwei Aspekte der Zweckbindung

Art. 5 Abs. 1 lit. b Hs. 1 DSGVO zerlegt den Grundsatz in zwei Aspekte:

• Zweckfestlegung: Eine Verarbeitung darf nur für festgelegte, eindeutige und legitime Zwecke erfolgen.
• Unvereinbarkeitsverbot: Eine Weiterverarbeitung darf nicht in einer mit dem Erhebungszweck unvereinbaren Weise erfolgen.

Art. 5 Abs. 1 lit. b Hs. 2 DSGVO enthält daneben eine Privilegierung für Archivzwecke, wissenschaftliche oder historische Forschungszwecke sowie statistische Zwecke.

1.2 Rechtsfolge und Systematik

Die Zweckbindung wirkt als Konstruktionsprinzip der DSGVO. Der Zweck der Verarbeitung ist der Fixpunkt, an dem sich die Erforderlichkeit der Datenverarbeitung, die Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO, die Informationspflichten nach Art. 13, 14 DSGVO sowie die Lösch- und Speicherpflichten ausrichten. Ein Verstoß gegen die Zweckbindung macht die Verarbeitung unzulässig; er ist zudem als Grundsatzverstoß bußgeldbewehrt.

2 Zweckfestlegung

2.1 Festgelegt

Der Verarbeitungszweck muss festgelegt sein, d.h. vor oder spätestens mit Beginn der Verarbeitung bestimmt werden. Schon die Grundrechtecharta verbietet in Art. 8 Abs. 2 S. 1 GRC eine Verarbeitung zu unbestimmten Zwecken. Bereits das BVerfG hat in der Volkszählungsentscheidung die Verarbeitung personenbezogener Daten „auf Vorrat" als unvereinbar mit dem Recht auf informationelle Selbstbestimmung beanstandet (BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a., Volkszählung, BVerfGE 65, 1).

Die Festlegung des Zwecks hat für den Verantwortlichen zugleich eine Hinweis- und Warnfunktion. Sie zwingt ihn, vor der Erhebung zu prüfen, welche Ziele er mit der Verarbeitung verfolgt, und wirkt damit als Instrument der Selbstregulierung. Die DSGVO schreibt keine besondere Form vor; zur Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO sollte die Festlegung jedoch schriftlich oder in vergleichbar dauerhafter Form dokumentiert werden. Praktisch erfolgt die Festlegung häufig im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 S. 2 lit. b DSGVO) oder in der Information nach Art. 13 Abs. 1 lit. c DSGVO.

Auch bei Verarbeitungen auf gesetzlicher Grundlage nach Art. 6 Abs. 1 lit. c oder lit. e DSGVO bleibt die Zweckfestlegung erforderlich. Zwar fordert Art. 6 Abs. 3 S. 2 DSGVO, dass der Zweck bereits in der Rechtsgrundlage festgelegt ist. Dieser gesetzliche Zweck ist aber typischerweise weiter gefasst als der konkrete Verarbeitungszweck. Der Verantwortliche muss daher für jede konkrete Verarbeitung festlegen, für welchen der möglichen Zwecke er die Daten tatsächlich verarbeitet.

2.2 Präzisionsgrad der Zweckbestimmung

Wie präzise der Zweck zu bestimmen ist, hängt vom Einzelfall ab. Die Präzision ist umso größer zu wählen, je sensibler die Daten, je umfangreicher die Verarbeitung und je intensiver die Folgen für die betroffene Person sind. Die Tendenz der DSGVO geht zu einer eher engen Zweckbestimmung; Erwägungsgrund 33 DSGVO lässt lediglich bei Einwilligungen zu Forschungsvorhaben eine breitere Zweckbestimmung zu.

2.3 Eindeutig

Das Merkmal „eindeutig" (englisch „explicit", französisch „explicites") hat neben der Klarheit des Zwecks eine kommunikative Dimension: Der Zweck soll der betroffenen Person mitgeteilt werden. Die Zweckbestimmung dient damit nicht nur der internen Bindung des Verantwortlichen, sondern zugleich der Transparenz und Voraussehbarkeit aus Sicht der betroffenen Person.

2.4 Legitim

„Legitim" ist weiter zu verstehen als „rechtmäßig" im Sinne des Art. 6 Abs. 1 DSGVO. Es kommt nicht darauf an, ob eine Rechtsgrundlage für die Verarbeitung besteht, sondern ob der Zweck mit der Rechtsordnung insgesamt im Einklang steht. Missbilligte Zwecke (etwa die gezielte Diskriminierung bestimmter Personengruppen aus rassistischen Motiven) sind nicht legitim. Praktisch handelt es sich um einen groben Filter; er greift erst bei krassen Verstößen.

3 Unvereinbarkeitsverbot

3.1 Doppelte Verneinung und Flexibilität

Art. 5 Abs. 1 lit. b Hs. 1 DSGVO verbietet eine Weiterverarbeitung zu Zwecken, die „nicht zu vereinbaren" sind mit den ursprünglichen Erhebungszwecken. Der Unionsgesetzgeber hat sich bewusst für die doppelte Verneinung entschieden, statt eine ausdrückliche Vereinbarkeit zu fordern. Das verschafft dem Verantwortlichen einen gewissen Spielraum: Im Zweifel ist die Weiterverarbeitung nicht verboten. Erwägungsgrund 50 S. 1 und S. 6 DSGVO beschreiben allerdings den positiven Fall der Vereinbarkeit, was zeigt, dass der Verantwortliche nicht vollkommen frei entscheiden kann.

3.2 Bezug auf den Erhebungskontext

Die Vereinbarkeit ist am Erhebungskontext und an den Erwartungen der betroffenen Person zu diesem Zeitpunkt zu messen. Art. 6 Abs. 4 DSGVO listet die dabei heranzuziehenden Faktoren auf (Verbindung zwischen den Zwecken, Zusammenhang der Erhebung, Art der Daten, mögliche Folgen, Vorliegen geeigneter Garantien). Entscheidend ist zusätzlich, ob die betroffene Person die Weiterverarbeitung zum Zeitpunkt der Erhebung vernünftigerweise erwarten musste. Je stärker sich die Zweckrichtung verschiebt, desto weniger lässt sich eine Vereinbarkeit annehmen.

3.3 „Weise" der Verarbeitung

Art. 5 Abs. 1 lit. b Hs. 1 DSGVO stellt nicht nur auf den Zweck der Weiterverarbeitung ab, sondern auf die „Weise" der Verarbeitung. Auch bei fortbestehendem Zweck kann eine Weiterverarbeitung unzulässig sein, wenn sich wichtige Umstände (etwa technische Rahmenbedingungen oder Kreis der Empfänger) seit der Erhebung verändert haben und die Verarbeitung für die betroffene Person dadurch in einem anderen Licht erscheint.

3.4 Ausnahmen vom Unvereinbarkeitsverbot

3.5 Rechtsfolge bei Unvereinbarkeit

Ist die Weiterverarbeitung mit dem Erhebungszweck unvereinbar, ist sie unzulässig. Der Verantwortliche kann die Unvereinbarkeit nicht durch den Rückgriff auf eine neue Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO heilen; möglich bleibt nur eine neue Erhebung für den anderen Zweck. Andernfalls würde der Grundsatz der Zweckbindung leerlaufen und die speziellen Anforderungen des Art. 6 Abs. 4 in Verbindung mit Art. 23 Abs. 1 DSGVO umgangen.

4 Zweckänderung als Informationspflicht

Eine mit dem Erhebungszweck vereinbare Zweckänderung ist zulässig, der Verantwortliche muss die betroffene Person aber über die Änderung informieren (Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO). Die Informationspflicht mildert die Schwierigkeit, die jede Zweckänderung für die Kontrolle der betroffenen Person über ihre Daten mit sich bringt.