Der Zweck einer Datenverarbeitung: Warum er über fast alles andere im Datenschutz entscheidet

Ein mittelständisches Unternehmen verkauft Maschinen und Ersatzteile. In der Kundenverwaltung liegen Ansprechpartner, Bestellhistorien, Reklamationen, Umsätze und Zahlungsinformationen – erhoben, um Angebote zu erstellen, Bestellungen abzuwickeln, Waren auszuliefern und Rechnungen zu stellen. Eines Tages entsteht im Vertrieb eine Idee: Aus den vorhandenen Daten soll eine Rangliste werden. Kunden mit hohen Umsätzen und wenigen Reklamationen sollen bevorzugt betreut werden, Kunden mit niedrigen Umsätzen oder häufigen Beschwerden nur noch eingeschränkten Service erhalten. Zusätzlich soll die Liste genutzt werden, um besonders interessante Kunden gezielt mit Werbung anzusprechen.

Technisch ist das schnell umgesetzt, die Daten sind schließlich schon da. Genau an diesem Punkt entsteht häufig der Trugschluss, eine weitere Nutzung vorhandener Daten könne kein besonderes Problem darstellen. Datenschutzrechtlich stellt sich jedoch eine andere Frage: Wofür wurden die Daten ursprünglich erhoben – und dürfen sie nun auch für die Kundenbewertung und die Werbeansprache verwendet werden? Damit sind wir beim Kern jeder Datenschutzprüfung: dem Zweck einer Verarbeitung.

Was der Zweck eigentlich ist

Ein Unternehmen verarbeitet personenbezogene Daten nie um ihrer selbst willen, sondern um ein bestimmtes Ziel zu erreichen. Die Personalabteilung speichert die Bankverbindung eines Mitarbeiters nicht, weil Bankverbindungen interessant sind, sondern um das Arbeitsentgelt auszuzahlen. Ein Onlinehändler verarbeitet die Lieferanschrift, um die bestellte Ware zuzustellen. Der Zweck beantwortet also die Frage: Welches konkrete betriebliche oder rechtliche Ziel soll durch die Verarbeitung erreicht werden?

Diese Frage klingt simpel, in der Praxis werden jedoch regelmäßig vier Begriffe durcheinandergebracht, die eigentlich klar zu trennen sind.

Zweck und Verarbeitungsvorgang sind nicht dasselbe. Erheben, Speichern, Übermitteln oder Löschen sind Tätigkeiten – sie beschreiben, was mit Daten geschieht, nicht wofür. „Speicherung von Kundendaten“ ist deshalb kein ausreichender Zweck. Erst „Speicherung der für die Bearbeitung und Abwicklung von Kundenbestellungen erforderlichen Daten“ beschreibt ein Ziel.

Zweck und eingesetztes Mittel sind ebenfalls zu unterscheiden. „Nutzung des CRM-Systems“ ist kein Zweck, sondern nur das Werkzeug. Mit demselben CRM-System lassen sich ganz unterschiedliche Zwecke verfolgen – von der Angebotsnachverfolgung über die Beschwerdebearbeitung bis zur Werbemaßnahme. Das System sagt nichts darüber aus, wozu die darin gespeicherten Daten tatsächlich genutzt werden.

Zweck und Rechtsgrundlage gehören eng zusammen, sind aber keine Synonyme. Der Zweck beantwortet die Frage „Wofür?“, die Rechtsgrundlage die Frage „Weshalb rechtlich erlaubt?“. Der Zweck „Auszahlung des Arbeitsentgelts“ beruht auf der Rechtsgrundlage der Vertragsdurchführung; der Zweck „Versand eines Newsletters“ auf einer Einwilligung. Eine Rechtsgrundlage kann mehrere Zwecke tragen, ein betrieblicher Vorgang kann umgekehrt mehrere Zwecke mit unterschiedlichen Rechtsgrundlagen enthalten.

Zweck und berechtigtes Interesse werden besonders häufig vermischt. Der Zweck ist das Ziel der Verarbeitung, das Interesse der Vorteil, den das Unternehmen damit erreichen möchte – etwa: Zweck ist die Videoüberwachung des Eingangsbereichs außerhalb der Geschäftszeiten, Interesse ist der Schutz von Gebäude und Betriebsmitteln vor Einbruch. Diese Unterscheidung wird vor allem bei der Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO relevant.

Der Grundsatz der Zweckbindung

Art. 5 Abs. 1 lit. b) DSGVO verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und anschließend nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist. Daraus ergeben sich zwei aufeinanderfolgende Anforderungen: Der Zweck muss feststehen, bevor die Verarbeitung beginnt – und jede weitere Verwendung muss sich innerhalb dieses Zwecks bewegen oder mit ihm vereinbar sein.

Das bedeutet in der Praxis: Personenbezogene Daten dürfen nicht auf Vorrat gesammelt werden, um später zu überlegen, was sich damit anfangen lässt. Formulierungen wie „für spätere Auswertungen“, „für eventuell noch entstehende Geschäftsinteressen“ oder „für alle betrieblichen Zwecke“ genügen den Anforderungen regelmäßig nicht. Wer den Zweck erst nach der Datenerhebung festlegt, kann weder beurteilen, welche Daten wirklich erforderlich sind, noch eine passende Rechtsgrundlage wählen, die betroffene Person korrekt informieren oder eine sachgerechte Löschfrist bestimmen.

Damit ein Zweck den Anforderungen der DSGVO genügt, muss er drei Eigenschaften erfüllen:

• Festgelegt ist er, wenn vor Beginn der Verarbeitung entschieden und dokumentiert wurde, welches Ziel verfolgt wird – etwa im Verzeichnis von Verarbeitungstätigkeiten, einer Verfahrensbeschreibung oder einem Löschkonzept.
• Eindeutig ist er, wenn aus der Formulierung verständlich hervorgeht, welche Nutzungen dazugehören und welche nicht. Begriffe wie „Verwaltung“, „Geschäftszwecke“ oder „Marketing“ sind dafür zu unbestimmt; „Versand eines monatlichen E-Mail-Newsletters mit Informationen über Produkte und Sonderangebote“ ist konkret genug.
• Legitim ist er, wenn er mit der Rechtsordnung sowie den allgemeinen rechtlichen und gesellschaftlichen Wertungen vereinbar ist – eine Kundendatenbank etwa, die bestimmte Personengruppen ohne sachlichen Grund systematisch ausschließt, wäre nicht legitim.

Wichtig ist dabei das richtige Maß: Sammelbegriffe wie „Optimierung unserer Leistungen“ schaffen keinen erkennbaren Rahmen und rechtfertigen im Zweifel fast alles. Das andere Extrem – jede einzelne E-Mail oder jeden Mausklick als eigenen Zweck zu dokumentieren – ist ebenso wenig zielführend. Für die Abwicklung einer Bestellung braucht es keine getrennten Zwecke für Erfassung, Lieferschein und Versandbestätigung; das sind Teilschritte eines übergeordneten Zwecks. Anders ist es, sobald ein Vorgang eigenen Regeln folgt: Die Aufbewahrung der Rechnung nach Abschluss der Bestellung dient nicht mehr der Lieferung, sondern der Erfüllung gesetzlicher Aufbewahrungspflichten – und ist damit ein eigener Zweck.

Warum der Zweck fast alles andere bestimmt

Der Zweck ist kein isoliertes Formularfeld, sondern der Ausgangspunkt für praktisch jede weitere Datenschutzprüfung. Ohne ihn lässt sich nicht beurteilen, welche Daten überhaupt erforderlich sind (Art. 5 Abs. 1 lit. c) DSGVO): Für den Versand einer Bestellung reichen Name und Lieferanschrift, das Geburtsdatum wird erst relevant, wenn ein altersbeschränktes Produkt verkauft wird. Ohne feststehenden Zweck lässt sich auch keine passende Rechtsgrundlage wählen – dieselbe E-Mail-Adresse kann je nach Zweck auf Vertragserfüllung, gesetzlicher Verpflichtung oder Einwilligung beruhen. Und der Zweck bestimmt, wie lange Daten gespeichert werden dürfen: Ist er erreicht, sind die Daten grundsätzlich zu löschen (Art. 17 Abs. 1 lit. a) DSGVO), sofern kein eigenständiger Aufbewahrungszweck – etwa eine gesetzliche Pflicht – entsteht.

Auch Zugriffsrechte richten sich am Zweck aus: Ein Mitarbeiter darf nicht auf Daten zugreifen, nur weil sie im Unternehmen vorhanden sind, sondern nur, soweit es für seine Aufgabe und den jeweiligen Zweck erforderlich ist. Die Buchhaltung braucht Rechnungsdaten, aber keinen automatischen Zugriff auf Gesprächsnotizen des Vertriebs.

Wenn vorhandene Daten neue Wünsche wecken

Der praktisch häufigste Streitpunkt ist die Weiterverwendung vorhandener Daten für neue Zwecke: Kundenadressen aus der Auftragsabwicklung sollen für Werbung genutzt werden, Zutrittsprotokolle zur Arbeitszeitkontrolle, GPS-Daten aus der Tourenplanung zur Leistungsbewertung von Fahrern, Supportgespräche zum Training eines KI-Systems. In all diesen Fällen ist zunächst zu klären, ob die neue Nutzung noch demselben Zweck dient oder ob eine Zweckänderung vorliegt. Ein Softwarewechsel oder die Digitalisierung eines Papierformulars ändert den Zweck in der Regel nicht – wohl aber, wenn sich das mit den Daten verfolgte Ziel selbst ändert, etwa wenn aus der Zutrittskontrolle zum Objektschutz plötzlich eine Kontrolle von Arbeitsbeginn und Pausen wird.

Eine Verarbeitung zu einem neuen Zweck ist dabei nicht automatisch verboten. Die DSGVO kennt dafür drei Wege: eine wirksame Einwilligung der betroffenen Person, eine gesetzliche Erlaubnis – für nichtöffentliche Stellen etwa die eng begrenzte Regelung des § 24 BDSG – oder die Feststellung, dass der neue Zweck mit dem ursprünglichen vereinbar ist. Für diese Vereinbarkeitsprüfung nennt Art. 6 Abs. 4 DSGVO fünf Kriterien: die Verbindung zwischen altem und neuem Zweck, den Kontext der ursprünglichen Erhebung und die vernünftigen Erwartungen der betroffenen Person, die Art der Daten, die möglichen Folgen der neuen Nutzung sowie vorhandene Schutzmaßnahmen wie Pseudonymisierung. Der Europäische Gerichtshof verlangt dafür einen „konkreten, logischen und hinreichend engen Zusammenhang“ zwischen den Zwecken (u. a. Urteil vom 2. März 2023, C-268/21). Wie eng diese Prüfung ausfallen kann, zeigt der Fall „Digi“ (EuGH, Urteil vom 20. Oktober 2022, C-77/21): Ein ungarischer Telekommunikationsanbieter kopierte Kundendaten in eine Testdatenbank, um einen technischen Fehler zu beheben – grundsätzlich zulässig. Weil die Testdatenbank nach Abschluss der Arbeiten aber über Jahre vergessen wurde, verhängte die ungarische Aufsichtsbehörde ein Bußgeld von umgerechnet rund 248.000 Euro. Die Lehre daraus: Eine zulässige Kopie bleibt nicht automatisch unbegrenzt zulässig – Zweckende und Löschung müssen von Anfang an mitgeplant werden.

Auch bei Werbung und Profilbildung zieht die Rechtsprechung enge Grenzen. Der Europäische Gerichtshof hat im Verfahren „Schrems gegen Meta“ (Urteil vom 4. Oktober 2024, C-446/21) klargestellt, dass der Grundsatz der Datenminimierung einer zeitlich und inhaltlich unbegrenzten Verwendung sämtlicher vorhandener Daten für zielgerichtete Werbung entgegensteht. Eine allgemeine Formulierung wie „Personalisierung unserer Angebote“ rechtfertigt also nicht automatisch, sämtliche Klicks, frühere Käufe, Standortdaten und Kommunikationsinhalte dauerhaft zusammenzuführen.

Wird ein neuer Zweck verfolgt, müssen betroffene Personen zudem grundsätzlich vor Beginn der neuen Verarbeitung darüber informiert werden (Art. 13 Abs. 3, Art. 14 Abs. 4 DSGVO) – ein unauffälliger Satz in einer umfangreichen Datenschutzerklärung reicht dafür nicht aus.

Praktikables Vorgehen

Für kleine und mittlere Unternehmen genügt häufig eine schlanke Struktur, die den Zweck greifbar macht, etwa für die Bearbeitung von Kundenbestellungen: Zweck ist die Anbahnung, der Abschluss und die Abwicklung von Kundenbestellungen einschließlich Kommunikation, Lieferung und Zahlungsabwicklung. Nicht umfasst sind der Versand allgemeiner Werbung, die Erstellung umfassender Interessenprofile oder die Weitergabe der Daten an Adresshändler. Der operative Zweck endet mit vollständiger Lieferung und Zahlung; Rechnungen werden anschließend aus einem eigenständigen, gesetzlich begründeten Aufbewahrungszweck weitergeführt. Werbung, Profilbildung oder KI-Training bedürfen einer gesonderten Prüfung.

Wer diese wenigen Elemente – Ziel, Umfang, Zweckende, Anschlusszweck, Prüfvorbehalt für Neues – für die eigenen Kernprozesse einmal sauber formuliert, gewinnt mehr als nur eine Zeile fürs Verzeichnis von Verarbeitungstätigkeiten: Eine klare Zweckbestimmung schafft eine Arbeitsgrundlage, die spätere Fragen zu Datenumfang, Rechtsgrundlage, Zugriffsrechten und Löschung deutlich schneller beantworten lässt – und die verhindert, dass aus einer naheliegenden Idee ungeprüft eine unzulässige Zweitnutzung wird.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.